Connexion de sécurité PHP2Shell: ‘Fermer votre site à partir de l'alerte FBI

21 septembre En octobre 2026, le FBI Cyber Department a lancé un appel ouvert aux institutions : déconnectez-vous si vous ne pouvez pas mettre à jour immédiatement. L'objectif de l'avertissement était la vulnérabilité de PHP2Shell dans PHP. Données W3Techs Selon la langue côté serveur, environ 70 pour cent des sites qui peuvent être déterminés, deux critiques ouvertes dans cette langue permet d'exécuter le code à distance sans authentification avec 9.2 score CVSS. Dans cet article, quelle est la vulnérabilité, comment fonctionne l'attaque, quelles versions sont sûres, et les étapes concrètes que les gestionnaires de site devraient être jetés.

Qu'est-ce que PHP2Shell Security Apparatus ?

PHP2 Shell est le nom commun de deux vulnérabilités distinctes trouvées dans le noyau PHP : CVE-2026-109618 et CVE-2026-109619. Les deux espaces permettent à un code distant de fonctionner sans authentification. Selon les transferts de Huntress CVE-2026-109619 peut également conduire à des fuites de données dans la mémoire du processus de travail. Open est situé directement sur le PHP.

Le problème est aussi dangereux qu'ici. Ouvrez sur un plugin de WordPress ou non sur le site , il , sur le code de fonctionnement du moteur . D'après le transfert d'Expel. PHP a mis en garde contre le fait que certains chemins d'abus ne laissent peut-être pas un journal de bord prévisible, ce qui signifie qu'un journal vierge ne peut pas prouver que le serveur est sûr. Même si une institution a reçu sa propre confiance méticuleusement, elle peut être exposée à la version de PHP ci-dessous.

Deux, ouvertement, par l'équipe de sécurité PHP, avec 9,2 points dans l'échelle CVSS v4.0, qui est coté critiquement. Selon Help Net Security transferts le plus grand danger dans les installations utilisant Apache mod php. Un abus d'employé peut déclencher une attaque avant une seule requête sans authentification.

Pourquoi le FBI et la NSA ont fermé des sites ?

L'instruction la plus pointue était pour ceux qui ne peuvent pas mettre à jour. L'expression que Digit est transférée Le FBI a suggéré que les systèmes qui ne peuvent être mis à jour immédiatement tant qu'ils n'ont pas été complètement supprimés. " Fermer le « site » d'une institution d'État pour une vulnérabilité résume la gravité du problème seulement.

L'avertissement ne se limitait pas à une seule institution. Selon les nouvelles de Défense One La NSA a averti les organisations du FBI et de la CISA ensemble; Données W3Techs Sur la base du côté serveur, environ 70 pour cent des sites qui peuvent être identifiés ont été rappelés que PHP utilise. Le domaine est très large car PHP est situé sur la base de plateformes telles que WordPress, Drupal et Joomla.

La Turquie a également progressé rapidement. Selon le transfert de Turquie Newspaper La présidence présidentielle de la cybersécurité a lancé des contrôles de sécurité dans tout le pays, principalement des institutions publiques et a envoyé des notifications de mesures d'urgence aux institutions compétentes. Le poids de l'angle a confirmé le propre ingénieur de sécurité de la Fondation PHP. Selon le transfert du Journal Volker Dusch a reçu PHP2Shell dans la description de Wall Street Journal comme le problème le plus grave que PHP ait rencontré en plus de dix ans, et en 2014, il a ensanglanté le déficit Heartbleed.

Cette évaluation de l'ingénieur de la fondation explique pourquoi l'air panique se répand si rapidement. Le transfert de Newstürk basé sur Bloomberg HT La source de vulnérabilité est un groupe d'erreurs né de la forme de gestion de la mémoire informatique de PHP.

Comment effectuer une attaque techniquement?

Au cœur de l'angle il y a une tâche que PHP atteint la limite de mémoire. De l'équipe de sécurité PHP à l'analyse Alexandre Daubois Lorsque la limite de mémoire est dépassée, le séparateur de mémoire de PHP a été jeté dans la fonction C qui veut la mémoire et jeté directement dans le fonctionnement de la requête. Le problème est: il pourrait être publié un marqueur sans remplir la structure derrière. mod php errait une structure que personne ne complète parce qu'elle appelle la routine de fermeture si la demande n'est pas terminée.

Le seul besoin de saldurga détermine quand le séparateur échouera exactement. Selon la même analyse, la séparation de forme multiparties offre plusieurs façons pour elle. Un organisme qui ne notifie pas la longueur attendue peut passer le contrôle de première taille. Une pièce de formulaire peut porter de nombreux en-têtes qui consomment beaucoup plus de mémoire comme il couvre sur le réseau. Les zones de fichiers vides lancent la limite du nombre de fichiers et créent encore des tableaux topveri. Ce sont les façons de frotter le séparateur au moment désiré.

Sur la deuxième séance publique (session). Basé sur l'examen de Upwind l'erreur est ressentie dans la fonction de session après la progression du chargement en plusieurs parties. PHP stocke certains marqueurs de mémoire dans des structures permanentes; cette structure est détruite et laissée derrière un drapeau quand une deuxième session de requête est relue. La requête suivante se présente lorsque vous vous fiez à ce pointeur, le type d'utilisation après libre est une erreur, donc le code est en cours d'exécution ou la fuite de mémoire.

La fuite de mémoire est également un risque par tête. Selon Wiz, Huntress transfère, une manière séparée de divulgation de mémoire peut révéler mot de passe, jeton, clé API et certificats. Ainsi, même si le code agressif ne fonctionne pas, il peut sérieusement endommager la mémoire du serveur avec des données divulguées. Correction selon Daubois touche 390 fichiers, ce qui montre à quelle profondeur le problème est PHP.

Seule la logique de l'attaque ci-dessus a été expliquée; code d'abus des employés ou recette d'attaque étape par étape n'a pas été donné consciemment. L'objectif est d'évaluer correctement le risque des gestionnaires.

Comment ouvrir, quel rôle jouer l'intelligence artificielle?

En plus du plus remarquable, comment se situe le déficit. Sur la base du transfert de la sécurité des précurseurs L'équipe de sécurité Calif a identifié la vulnérabilité OpenAI avec le modèle de gauche GPT-5.6 dans le cadre de l'initiative « Patch the Planet » ; Wiz a signalé que deux déficits sont découverts et signalés indépendamment. PHP La Fondation a été trouvée avec l'aide de modèles d'intelligence artificielle d'un déficit, qui compte le plus grave de plus de dix ans, ainsi que pour le côté attaque signe d'une nouvelle ère lit.

Les procès d'attaque ont commencé avant l'annonce. Selon les mêmes nouvelles de Help Net Security, le réseau MadPot Honeypot de Amazon a enregistré un procès pour abus de PHP2Shell le 17 octobre, quatre jours avant l'annonce publique. Amazon pense que c'est un vecteur de menace derrière l'essai, mais on ne sait pas encore comment l'attaquant atteint les détails lors de la conduite de l'ambargo.

Il n'était pas prévu de divulguer le processus au public. Basé sur The Hacker News Le 20 octobre, les deux vulnérabilités PHP dans Hacker News ont été partagées le 22 octobre et PHP a retiré le piéton un jour. Selon Huntress, le message a été retiré, mais les captures d'écran ont été tellement répandues dans les médias sociaux à l'époque. La réclamation de fuite "CVSS 10.0" a été couverte par les 9,2 points officiels de PHP.

La chronologie montre clairement comment un déficit tombe dans le public sans contrôle. Les sources du tableau sont la chronologie de Daubois, Net Help Security et Huntress:

25 septembre

Ouverture de la demande de modification de code (PR)

17 octobre

Amazon MadPot network enregistre le premier essai d'abus

20 octobre

Le message de fuite sur Hacker News est supprimé, mais les captures d'écran se propagent, PHP fait une annonce de patch d'urgence

21 septembre octobre

PHP fait une annonce officielle et publie des versions corrigées

Ce tableau décrit comment un processus coordonné de divulgation d'un déficit avec l'aide de l'intelligence artificielle peut être divulgué sans être achevé.

Quelles versions PHP font confiance ?

La première exigence de protection est de connaître la version sûre. Selon les nouvelles de Help Net Security, l'équipe PHP a publié quatre versions de correction le 21 octobre 2026: 8.5.12, 8.4.27, 8.3.36 et 8.2.35. Toutes les versions de ces versions dans chaque branche sont considérées comme vulnérables. Dernières versions vulnérables et dates de support sur la table Accueil Compilation BrandefenseS basée sur php.net Accueil reçu.

Si le risque réel est supporté dans des versions terminées. Basé sur le transfert de Mynet. PHP 8.1 et les anciennes versions ne reçoivent plus de mises à jour de sécurité régulières du projet PHP. Cela laisse une grande partie de l'internet sous risque permanent. Selon le scan de CybelAngel Ouvert à l'internet 2,24 millions de pour cent du serveur PHP fonctionne dans des branches qui ne viendront pas à la version de réparation officielle. L'équipe de sécurité PHP, selon Help Net Security, a également publié les correctifs minimums au niveau du code source pour 7.4, 8.0 et 8.1 en raison du poids du déficit; ceux-ci sont pour ceux qui compilent PHP à partir de source. Certaines distributions et les fournisseurs de soutien à long terme peuvent également offrir des correctifs rétrospectifs, de sorte que ceux qui utilisent ces versions doivent consulter leurs fournisseurs.

Comment protéger les sites de PHP2Shell Alet ?

La protection consiste en plusieurs étapes. Le point commun des alertes officielles est la mise à jour de la solution complète unique.

Inventaire des extraits: Identifiez où PHP fonctionne dans votre environnement avant les conseils du FBI; priorité aux produits tiers qui incluent des systèmes ouverts sur Internet et PHP.

Mettre à jour PHP : Passez à la version sécurisée (8.5.12, 8.4.27, 8.3.36 ou 8.2.35) pour chaque branche. La protection complète selon l'annonce officielle n'est fournie qu'avec la mise à jour.

Obtenez hors ligne si vous êtes incapable de mettre à jour: Les instructions du FBI sont claires; le système qui ne peut pas être mis à jour immédiatement est maintenu hors ligne jusqu'à ce qu'il soit complètement supprimé.

Appliquer correctement les mesures temporaires officielles: La plupart répétés pendant les fuites selon l'analyse de Daubois session.upload_progress.enabled = Off La proposition ne fait que fermer le chemin de la session du deuxième déficit (CVE-2026-109619), et non le premier déficit. Les mesures temporaires recommandées pour la première memory_limit=-1 de forcer la valeur des applications d'une manière qui ne peut changer. Ces mesures ne conservent pas la place du dispositif transdermique, ne fait que gagner du temps.

Reculez derrière WAF : Si vous utilisez un cloud WAF comme Cloudflare selon les conseils d'Expel, assurez-vous que vos serveurs d'origine n'acceptent le trafic que sur WAF.

Rechercher : Selon l'avertissement du FBI, les processus PHP doivent être suivis d'événements suspectes inattendus tels que le script ou le téléchargement de fichiers; si la spécification est vue, le système est isolé et les journaux doivent être stockés.

Rafraîchir les secrets qui peuvent être hachés: La façon dont Wiz montre la divulgation de la mémoire mot de passe, jeton, clé API et certificats Comme il peut être révélé, la régénération de ces secrets peut être évaluée comme une mesure raisonnable.

Une taille supplémentaire pour les institutions en Turquie est également l'obligation de protéger les données. Si une violation est détectée dans un système qui traite des données à caractère personnel, le statut de l'article 12 du KVKK n° 6698 doit être signalé au comité compétent et au comité de protection des données à caractère personnel dès que possible. Selon l'annonce publique de KVKK La décision de la Commission en date de 2019/10 prévoit que la notification à la Commission est faite dans les 72 heures suivant l'apprentissage de l'infraction. Un avis devrait être donné dès que possible pour les personnes touchées. Par conséquent, PHP2Shell nécessite non seulement un plan technique, mais aussi un plan d'intervention pour les événements juridiques.

Quelle est l'étendue du risque d'exception et de fuite des données?

Les ressources de cette question contredisent et sont essentielles pour les gestionnaires de la contradiction. Selon la compilation de Black Kite Depuis le 21 octobre, aucune institution n'a signalé une violation de cette disposition. Catalogue d'ouvertures exceptionnelles connus de CISA l'endroit a été laissé.

D'autre part, il y a des rapports de trafic d'attaque. Selon le transfert de The Hacker News, Cloudflare a annoncé que ses clients voient le trafic d'attaque ciblé et changent leurs charges pour surmonter les règles du pare-feu des attaquants. D'après la compilation de SOCRadar. Aikido a signalé que des abus avaient été signalés sur le terrain, Patchstack a indiqué qu'il avait vérifié plusieurs cas d'abus actif; deux entreprises ne publiaient pas les détails techniques des attaques. watchTowr a publié des informations des abus actifs ont été observés au 21 octobre dans le réseau de pots de miel de l'entreprise. Selon la mise à jour de The Hacker News, une brèche confirmée pour un serveur spécifique n'a pas encore été signalée, mais les essais d'attaque ont déjà commencé. Cela ne doit pas être couvert avec le confort de « aucune violation », juste une raison pour faire le patch.

Que pense la communauté?

La discussion du côté du développeur se poursuit sur deux axes : le rôle du processus de divulgation et l'intelligence artificielle. Discussion Hacker News Certains utilisateurs ont trouvé environ deux mois de fenêtre entre le rapport et l'annonce d'un si grave ouvert. Un utilisateur a écrit que la vulnérabilité de OpenAI's avec Calif a été trouvée dans une coïncidence qu'il avait été en mesure de déclarer comme « indépendant » le même jour et demandé comment marcher la divulgation coordonnée.

La fuite elle-même est également une discussion séparée. L'évaluation de Daubois offre un cadre équilibré à ce stade: la panique était justifiée quant à la gravité du déficit, mais dans la plupart des détails qui indiquent ce qu'il faut faire. Le fait que les mesures provisoires les plus éradiquées sont révélées incorrectement, la rapidité avec laquelle les informations qui ne sont pas vérifiées instantanément. L'habitude que Daubois recommande pour la prochaine fuite est hors de ce cours: confiance dans sérieusement, confirmer la mesure, demander quel chemin de code est couvert avant de fermer un ajustement.

Foire aux questions

Est-ce que WordPress ou Laravel ferme la vulnérabilité pour mettre à jour mon site ?

C'est pas vrai. Pas dans l'application ouverte, l'exécuter sur le moteur PHP. Cocher la cote Point Mettre à jour WordPress, Magento ou Drupal n'éteint pas la vulnérabilité seule. La solution est de mettre à jour la version PHP sur le serveur pour sécuriser la version.

Que dois-je faire si j'utilise l'hébergement partagé?

PHP dans l'hébergement partagé gère habituellement le fournisseur d'hébergement. Demandez à votre fournisseur une version sécurisée (8.5.12, 8.4.27, 8.3.36 ou 8.2.35). La version PHP utilisée dans de nombreux panneaux d'hébergement peut être vue et remplacée par l'utilisateur.

Les visiteurs du site sont-ils menacés?

Le but de PHP2Shell est d'utiliser des serveurs exécutant des versions affectées, et non des périphériques des utilisateurs finaux directement. Cependant, si le serveur est capturé et que les données utilisateur sont divulguées, les visiteurs indirects peuvent également être affectés. C'est pourquoi les gestionnaires de patch rapide est important en termes de sécurité des visiteurs.

Pourquoi la limite de mémoire=-1 recommande-t-elle cette sécurité ?

Bien que la logique paraisse inverse à première vue est: il est nécessaire de prédire quand l'attaquant dépassera la limite de mémoire pour déclencher la vulnérabilité. Supprimer la limite élimine ce moment d'échec prévisible. Il ne s'agit que d'une mesure temporaire; mise à jour permanente de la solution.

Est-il maintenant activement abusé?

Il y a des procès d'attaque, il n'y a pas encore de violation confirmée. En date du 21 octobre, le CISA deux déficits ont également appelé Connu Opens catalogue; contre lui Cloudflare, Aikido, Patchstack et watchTowr a signalé trafic d'attaque ou abus actif. Il n'est pas recommandé d'attendre les procès d'attaque.

Les modèles d'intelligence artificielle sont un outil puissant pour les défenseurs qui aident le déficit PHP le plus grave depuis plus de dix ans. Il s'agit d'une question distincte si la même vitesse passe par les attaquants. Comment modifier le catalogue CISA et les nouveaux rapports d'abus dans les prochaines semaines montrera que cet équilibre sera lourd à quelle partie.