Уязвимость в PHP, потенциально позволяющая скомпрометировать любой PHP-сайт

21.10.2026 08:16 (MSK)

Разработчики PHP анонсировали публикацию сегодня в 17:00 (MSK) экстренных корректирующих выпусков (8.5.12, 8.4.27, 8.3.36 и 8.2.35), в которых будут устранены две критические уязвимости. Всем администраторам серверов с PHP рекомендовано незамедлительно установить исправления на своих системах, сразу после их выпуска. Официально детали будут раскрыты только после появления исправлений, но судя по появившейся в открытом доступе информации, речь про уязвимости CVE-2026-109618 и CVE-2026-109619, потенциально позволяющие удалённо выполнить свой код на любом web-сервере, выполняющем PHP-скрипты в конфигурации по умолчанию. Проблемы проявляются во всех версиях, начиная с PHP 5.4.

В сети уже появились прототипы эксплоитов (1, 2) для проверки подверженности систем уязвимости. В примечании к эксплоиту утверждается, что уязвимости вызваны обращением к уже освобождённой памяти в обработчике отслеживания прогресса загрузки файлов на сервер (session.upload_progress). Наличия на сайте функциональности для загрузки файлов для совершения атаки не требуется, достаточно автоматического срабатывания в PHP-интерпретаторе обработчика контента "multipart/form-data". Для успешной эксплуатации требуется определение раскладки структур в памяти процесса, которая специфична в каждой сборке (проблема решается перебором в эксплоите смещений, заранее вычисленных для пакетов из разных дистрибутивов).

В качестве обходного пути защиты встречаются рекомендации выставить в php.ini параметр "session.upload_progress.enabled = off" (или "php_admin_flag[session.upload_progress.enabled] = off" в PHP-FPM), но представитель проекта PHP, а также автор первого прототипа эксплоита утверждают, что для блокирования обеих уязвимостей этого недостаточно. В примечании ко второму прототипу эксплоита упоминается, что помимо вышеупомянутой настройки в php.ini для предотвращения атаки без применения патча требуется полная блокировка запросов с типом контента "multipart/form-data", которая приведёт к невозможности загрузки файлов через web-формы.

В Apache httpd для блокировки multipart-запросов можно использовать следующее правило в mod_rewrite:


   RewriteCond %{HTTP:Content-Type} multipart [NC]
   RewriteRule ^ - [F,L]

Для блокировки в nginx:


    if ($http_content_type ~* "multipart") {
        return 403;
    }

Для блокировки в Caddy:


   @multipart header_regexp Content-Type (?i)multipart
   respond @multipart 403

исправить +11 +/–

Лицензия: CC BY 3.0

Короткая ссылка: https://opennet.ru/66516-php

Ключевые слова: php

При перепечатке указание ссылки на opennet.ru обязательно

Обсуждение (65)

1.1, Анониматор (?), 09:11, 21/10/2026 [ответить] [﹢﹢﹢] [ · · · ]	+/–
Непонятно, это только у тех у кого функционал загрузки файлов есть, или вообще на просто хелловроте тоже сработает эксплойт?

2.2, Ятыаноним (?), 09:15, 21/10/2026 [^] [^^] [^^^] [ответить]	+4 +/–
ну в новости прямо пишут что ой "Наличие на сайте функциональности для загрузки файлов для совершения атаки не требуется"

3.17, Аноним (17), 10:02, 21/10/2026 [^] [^^] [^^^] [ответить]	+/–
а сработает ли если в настройках нгинкса разрешен только GET. По идее ничто не мешает сформировать get-запрос с телом и multipart-data, и насколько тупым или умным окажется php в этом случае?

4.23, Аноним (17), 10:11, 21/10/2026 [^] [^^] [^^^] [ответить]	+/–
эксплоит по ссылке 1 делает POST, второй не смотрел

4.53, Ilya Indigo (ok), 12:43, 21/10/2026 [^] [^^] [^^^] [ответить]	–1 +/–
У GET запроса нет и не может быть тела!

5.66, Аноним (17), 13:37, 21/10/2026 [^] [^^] [^^^] [ответить]	+/–
зайди в postman и сделай, кто тебе запретил?

2.9, жавамэн (?), 09:27, 21/10/2026 [^] [^^] [^^^] [ответить]	–5 +/–
Это очередная уязвимость в вакууме, практическая реализация которой невозможна. Что-то типа отсутствия проверки на возврат printf.

3.13, Colorado_House_of_Representatives (?), 09:47, 21/10/2026 [^] [^^] [^^^] [ответить]	–1 +/–
Как раз наоборот. Практическая реализация 100%. Новость перечитайте.

4.18, Боевой Петух (?), 10:05, 21/10/2026 [^] [^^] [^^^] [ответить]	+4 +/–
> Практическая реализация 100% В тепличных специально созданных условиях.

3.25, Боевой Петух (?), 10:13, 21/10/2026 [^] [^^] [^^^] [ответить]	+/–
Так и есть. Иначе где повальнве взломы всего и вся. В тайне такие сурьезные дыры не удержать, и в даркнете инфа бы 100500 раз успела разлететься.

2.65, Мохнонос (?), 13:30, 21/10/2026 [^] [^^] [^^^] [ответить]	+/–
Мужики! Как в lighttpd зарубить multipart загрузки?

3.67, kuroneko (?), 13:50, 21/10/2026 Скрыто ботом-модератором [к модератору]	+4 +/–

1.3, Аноним (3), 09:22, 21/10/2026 [ответить] [﹢﹢﹢] [ · · · ]	–20 +/–
Будет ли это последним гвоздем в гробы ПыХи? Он и так уже мало где используется, а если попрут взломы...

2.5, Аноним (5), 09:25, 21/10/2026 [^] [^^] [^^^] [ответить]	+6 +/–
70% web-сайтов это "мало где используется"? WorldPress остаётся самой популярной CMS.

3.8, Аноним (5), 09:26, 21/10/2026 [^] [^^] [^^^] [ответить]	+2 +/–
в догонку статистика https://w3techs.com/technologies/overview/programming_language

3.10, жавамэн (?), 09:32, 21/10/2026 [^] [^^] [^^^] [ответить]	+3 +/–
ПХП это далеко не только WordPress.

2.15, Аноним (17), 09:58, 21/10/2026 [^] [^^] [^^^] [ответить]	+/–
вся мелкая торгашня до повального переезда на Озон на Битриксе сидели, наверно по инерции так и сидят

3.42, тоже Аноним (ok), 11:51, 21/10/2026 [^] [^^] [^^^] [ответить]

+/–

> вся мелкая торгашня до повального переезда на Озон на Битриксе сидели, наверно по инерции так и сидят

С этого давно протухшего продукта крайне сложно слезать. Видел уже статьи на Хабре о том, как к нему незаметно пристраивают нормальный фреймворк, отвечающий за реальную работу, и оставляют Битрикс только как фасад. Но это штучное решение.

На Озоне, кстати, тоже намазано отнюдь не медом. Свой магазин, если он сколько-нибудь жив, Озон не отменяет.

2.19, Жироватт (ok), 10:06, 21/10/2026 [^] [^^] [^^^] [ответить]	+5 +/–
Хоронили Пых, порвали два состава составов баянов, но мертвец, вопреки прогнозам анонимных и не очень Отстрадамусов, жив, доволен собой и жизнью и помирать не собирается. Если язык хочет жить и его активно пользуют, то медицина тут бессильна.

1.4, Дони (?), 09:23, 21/10/2026 [ответить] [﹢﹢﹢] [ · · · ]	+9 +/–
А могли бы сидеть на PHP 4, после которого язык превратился в bloated помойку, и уже сложнее java.

2.12, Tron is Whistling (?), 09:38, 21/10/2026 [^] [^^] [^^^] [ответить]	–1 +/–
Ну как-то да, последней вменяемой версией были 8.0/8.1, где нужные и важные JIT и Fiber добавили. А дальше понёсся какой-то полусахар для совсем уж обезьянок.

2.14, тоже Аноним (ok), 09:53, 21/10/2026 [^] [^^] [^^^] [ответить]	–3 +/–
При написании на примитиве вроде РНР 4 хоть сколько-нибудь сложной системы неизбежно получится копролит типа Битрикса.

3.21, Боевой Петух (?), 10:08, 21/10/2026 [^] [^^] [^^^] [ответить]	–1 +/–
Битрикс отличная система, насколько я помню, в отличие от современнвх оверинжиниред монстров.

4.57, фывыфв (?), 13:03, 21/10/2026 [^] [^^] [^^^] [ответить]	+1 +/–
> Битрикс отличная система Имел опыт работы. На столько хватило этого, что уволился из конторы, которая при мне стала официальным дистрибьютором, с неплохой зп кстати. Долго отмывался потом. Все еще помню привкус Битрикса.

2.16, Аноним (16), 09:59, 21/10/2026 [^] [^^] [^^^] [ответить]	–2 +/–
Это там, где magic quotes и прочие радости жизни? Лол.

2.20, Боевой Петух (?), 10:07, 21/10/2026 [^] [^^] [^^^] [ответить]	+1 +/–
Согласен. 4 пыха первая и последня +/- адекватная версия, далее они свернули куда-то не туда.

3.59, фывыфв (?), 13:06, 21/10/2026 [^] [^^] [^^^] [ответить]	+/–
Интересно, все кто нахваливает PHP4, хоть раз в жизни создавали какой-то продукт на PHP более менее пользующийся спросом? Я да, причем писал на PHP4 до выхода PHP5. PHP4 - это убожество. Веха PHP это версия 5.6.

4.62, тоже Аноним (ok), 13:15, 21/10/2026 [^] [^^] [^^^] [ответить]	+/–
Вы бы хоть ник тролля, с которым спорите, прочитали.

4.74, Tron is Whistling (?), 14:32, 21/10/2026 [^] [^^] [^^^] [ответить]	+/–
Да, 5.6, и далее до 7.3 включительно ничего сильно не ломали. В 7.4 что-то пошло не так, но не сильно. 8.0/8.1 - терпимо, за JIT можно потерпеть. Но с 8.2 понеслась какая-то долбанина. И релиз цикл ещё сменился от стабильного к вечно рушащемуся блидингэджу.

2.30, Pahanivo (ok), 10:37, 21/10/2026 [^] [^^] [^^^] [ответить]	+/–
Да фиг с ней с помойкой ... ломание совместимости при смене мажорной версии зачем?

3.49, пох. (?), 12:26, 21/10/2026 [^] [^^] [^^^] [ответить]

+1 +/–

мажорной?! Да вы, голубчик, родиться просто опоздали.
Это протухт ровно тех же ребят что в 2005м на ровном месте сломали foreach - вот ровненько между 5.2.1 и 5.2.2

4.78, Tron is Whistling (?), 14:45, 21/10/2026 [^] [^^] [^^^] [ответить]	+/–
Это когда для итераторов сломали поведение курсора на next внутри foreach, чтобы не плодить два инстанса итераторов? Так то, что они сломали - уже UB само по себе, в здравом уме нормальный человек такое писать не будет. Потому что реально UB.

2.48, Аноним (48), 12:16, 21/10/2026 [^] [^^] [^^^] [ответить]	+/–
Подскажите пожалуйста не-bloated альтернативу. Только без совсем васянских поделок, т.к. для них очень скоро перестанут выходить фиксы багов или они в будущем станут такими же bloated помойками. Мне реально интересно.

1.22, Аноним (22), 10:09, 21/10/2026 [ответить] [﹢﹢﹢] [ · · · ]	–3 +/–
Вот тебе и ИИ =(

2.31, Аноним (17), 10:38, 21/10/2026 [^] [^^] [^^^] [ответить]	+3 +/–
php 5.4 вышел в 2012 году, это кожаные внесли, ИИ невиноунен

1.24, Боевой Петух (?), 10:11, 21/10/2026 [ответить] [﹢﹢﹢] [ · · · ]	–1 +/–
Если бы это была реальная уязвимость, пол инторнета уже бы крякнули.

2.45, Rev (ok), 12:08, 21/10/2026 [^] [^^] [^^^] [ответить]	+2 +/–
А почему вы думаете, что их не крякнули?

1.26, Аноним (26), 10:17, 21/10/2026 [ответить] [﹢﹢﹢] [ · · · ]

+/–

> …CVE-2026-109618 и CVE-2026-109619…

https://security-tracker.debian.org/tracker/CVE-2026-109618
https://security-tracker.debian.org/tracker/CVE-2026-109619

Обе ссылки выдают 404. Возможно, скрыты в связи с эмбарго (хоть и слитым). Там хоть было что–нибудь?

1.35, Аноним (35), 10:56, 21/10/2026 [ответить] [﹢﹢﹢] [ · · · ]	+1 +/–
>для предотвращения атаки без применения патча требуется полная блокировка запросов с типом контента "multipart/form-data", которая приведёт к невозможности загрузки файлов через web-формы. Т.е. полная остановка функциональности NextCloud.

2.39, Аноним2 (?), 11:14, 21/10/2026 [^] [^^] [^^^] [ответить]	+2 +/–
70% интернета к твоим услугам.

1.40, Аноним (40), 11:19, 21/10/2026 [ответить] [﹢﹢﹢] [ · · · ]	+/–
а дак что оно делает-то ? сервак вешает или прямо выполнение кода любого ?

2.43, Аноним (43), 11:54, 21/10/2026 [^] [^^] [^^^] [ответить]	+/–
и вешает и если нужно выполняет любой код по желанию

1.41, Аноним (41), 11:47, 21/10/2026 [ответить] [﹢﹢﹢] [ · · · ]	+2 +/–
> (проблема решается перебором в эксплоите смещений, заранее вычисленных для пакетов из разных дистрибутивов). Практическое закрытие прблемы решается установкой из исходников.

2.51, Аноним (51), 12:36, 21/10/2026 [^] [^^] [^^^] [ответить]	+1 +/–
Вот это мне тоже интересно стало. Ведь есть некий ASLR (Address Space Layout Randomization), который аккурат не позволит однозначно вычислять эти смещения. Насколько понимаю, этот режим во множестве дистров активирован.

3.52, Жертва (?), 12:42, 21/10/2026 [^] [^^] [^^^] [ответить]	+/–
Речь о смещениях, а не об абсолютных адресах.

1.44, DEF (?), 11:57, 21/10/2026 [ответить] [﹢﹢﹢] [ · · · ]	+/–
Вовремя я сбежал с Wordpress + PHP на Astro + Node.js.

2.46, Rev (ok), 12:10, 21/10/2026 [^] [^^] [^^^] [ответить]	+3 +/–
Node.js - это тоже большая дыра.

2.47, тоже Аноним (ok), 12:13, 21/10/2026 [^] [^^] [^^^] [ответить]	+/–
Да любая маргинальщина менее подвержена атакам, просто по принципу Неуловимого Джо. Тот же Битрикс гордо кукарекал, какой он неуязвимый... до 2022. А потом тема "Взломаны сайты в честь дня конституции украины" на офсайте набрала сотню страниц... Впрочем, велосипедам на ноде этот вариант не грозит.

2.50, Аноним (-), 12:31, 21/10/2026 Скрыто ботом-модератором [к модератору]	+/–

2.55, menangen (?), 12:51, 21/10/2026 [^] [^^] [^^^] [ответить]	+/–
75% гошников это бывшие пыхеры С пыха разбежалось огромное количество нубов ещё в 2010-2020, щас тока матерые и непробивные кабаны ещё что-то там на поддержке тянут всякие поделия

3.58, тоже Аноним (ok), 13:05, 21/10/2026 [^] [^^] [^^^] [ответить]	+2 +/–
Нубам вообще свойственно метаться, они в реальном проде никакой роли не играют.

1.54, menangen (?), 12:48, 21/10/2026 [ответить] [﹢﹢﹢] [ · · · ]	–1 +/–
Большинство пыхеров уже и не пыхеры вовсе - там огромное лобби вайтишников было, которые на вордпрессе тупо мышкой ставили плагины, чтобы накрутить из этого г инетрент магазин по продаже ковриков и запчастей. Потом пощемились на руби с рельсами, там был бум магазинов на рельсах и кофескрипте, затем выстрелила нода и гоу и щас уже даже не понятно, кому эта пыха интересна - новых статей по ней нет, новых фреймворков - нет, новых orm - тока всплывают дыры и вся экосистема превращается в легаси как и чистая java, плюс из php сами разрабы пытались сделать что-то невменяемое уже лет 10 как

2.60, тоже Аноним (ok), 13:06, 21/10/2026 [^] [^^] [^^^] [ответить]	+/–
На заимствовании из тех же рельс выросла и окрепла Ларавель, например.

3.63, фывыфв (?), 13:20, 21/10/2026 [^] [^^] [^^^] [ответить]	+/–
yii тоже от рельсов пошла

2.64, фывыфв (?), 13:22, 21/10/2026 [^] [^^] [^^^] [ответить]	+/–
> php сами разрабы пытались сделать что-то невменяемое уже лет 10 как Такое чувство, что они пытались (или все еще пытаются) сделать альтернативу java, только интерпретируюмую и обратной совместимостью, обильно посыпанная тоннами сахара.

1.56, Аноним (56), 12:56, 21/10/2026 [ответить] [﹢﹢﹢] [ · · · ]	+/–
Да уходить надо с этого PHP на питоновские Django и FastAPI.

2.61, фывыфв (?), 13:09, 21/10/2026 [^] [^^] [^^^] [ответить]	+/–
Смысл? В экосистеме php сейчас есть все инструменты для нормальной разработки. Окружение позволяет поднять достаточно шустрые сервисы. Лучше работающие даже чем Python.

3.75, Dmitry (??), 14:33, 21/10/2026 [^] [^^] [^^^] [ответить]	+/–
Ага, конечно. Пишу на JS бэк, спека OpenAPI (ендпоинты, query, типы тел запросов, типы ответов) генерится автоматически на моем роуте /openapi, для этого я подключил лишь один плагин. Как же я долго ругался со всеми PHP разработчиками - ни в какую. Они походу его в вручную пишут, потому что он автоматически из кода у них не обновляется. Как хороша PHP экосистема. WEB-язык это JS.

4.77, Tron is Whistling (?), 14:36, 21/10/2026 [^] [^^] [^^^] [ответить]	+/–
Ехал API через API... А потом удивляются, что зашедшие полтора клиента опять положили все госуслуги.

2.70, Аноним (70), 14:18, 21/10/2026 [^] [^^] [^^^] [ответить]	+1 +/–
Зачем, когда можно на языки програмирования уходить? И забыть как страшный сон тормозные, ждущие память и забагованные динамические язычки.

3.71, Аноним (71), 14:28, 21/10/2026 [^] [^^] [^^^] [ответить]	+/–
Например?

2.73, Tron is Whistling (?), 14:30, 21/10/2026 Скрыто ботом-модератором [к модератору]	+/–

1.69, Аноним (70), 14:17, 21/10/2026 [ответить] [﹢﹢﹢] [ · · · ]	+/–
Вполне ожидаемо.

1.72, Tron is Whistling (?), 14:29, 21/10/2026 [ответить] [﹢﹢﹢] [ · · · ]

+/–

#####################
--- a/ext/session/session.c     2015-09-01 22:09:37.000000000 +0200
+++ b/ext/session/session.c     2026-10-21 12:31:35.206373687 +0200
@@ -2272,3 +2272,4 @@
        php_session_rfc1867_orig_callback = php_rfc1867_callback;
-       php_rfc1867_callback = php_session_rfc1867_callback;
+//      temporary mitigation for php2shell
+//     php_rfc1867_callback = php_session_rfc1867_callback;

#####################

Это для затравки, кому надо. Да, убьёт upload progress - но незаметно для клиента. Да, не факт, что это единственное место, где оно уязвимо. Но пока полной информации нет, для старых версий в самый раз.

1.76, Аноним (76), 14:36, 21/10/2026 [ответить] [﹢﹢﹢] [ · · · ]	+/–
никокда такова не была и вот апять!

игнорирование участников | лог модерирования

Добавить комментарий

Текст: