PHP2Shell: PHP-ში აღმოჩენილია ორი კრიტიკული მოწყვლადობა - საფრთხე ვებგვერდებისა და ორგანიზაციების ინფორმაციული უსაფრთხოებისთვის

მიმოხილვა

გამოქვეყნების თარიღი: 21 ოქტომბერი, 2026 | კატეგორია: კიბერუსაფრთხოება | მოწყვლადობები | IT უსაფრთხოება

2026 წლის 21 ოქტომბერს PHP-ის უსაფრთხოების გუნდმა გამოაქვეყნა საგანგებო უსაფრთხოების განახლებები, რომლებიც ორ კრიტიკულ მოწყვლადობას ასწორებს. ორივე მოწყვლადობის სიმძიმე CVSS v4.0-ის მიხედვით 9.2 ქულით არის შეფასებული და გარკვეულ პირობებში თავდამსხმელს საშუალებას აძლევს, სერვერზე დისტანციურად შეასრულოს მავნე კოდი, წინასწარი ავტორიზაციის გარეშე.

მოწყვლადობებს მინიჭებული აქვს იდენტიფიკატორები CVE-2026-109618 და CVE-2026-109619. ისინი ასევე ცნობილია საერთო სახელწოდებით PHP2Shell.

საკითხი განსაკუთრებულ ყურადღებას იმსახურებს, რადგან PHP ფართოდ გამოიყენება ინტერნეტსერვისების, კორპორაციული ვებაპლიკაციების, ელექტრონული კომერციის პლატფორმებისა და კონტენტის მართვის სისტემების (CMS) ფუნქციონირებისთვის.

რისკი არ შემოიფარგლება მხოლოდ ერთი კონკრეტული აპლიკაციით ან ვებგვერდის კომპონენტით. მოწყვლადობები დაკავშირებულია უშუალოდ PHP-ის შესრულების გარემოსთან (PHP Runtime), რაც პოტენციურად მნიშვნელოვნად ზრდის მათი გავლენის მასშტაბს.

რა მოხდა და რატომ არის საკითხი კრიტიკული?

20 ოქტომბერს PHP-ის უსაფრთხოების გუნდმა გაავრცელა უჩვეულო წინასწარი გაფრთხილება ორი კრიტიკული მოწყვლადობის შესახებ. დაგეგმილი უსაფრთხოების განახლებები 21 ოქტომბერს გამოქვეყნდა.

ოფიციალური ინფორმაციით, ორივე მოწყვლადობის წარმატებული ექსპლუატაცია შესაძლოა დასრულდეს Remote Code Execution (RCE)-ით - სერვერზე მავნე კოდის დისტანციური შესრულებით.

ეს განსაკუთრებით სახიფათოა ინტერნეტიდან ხელმისაწვდომი სისტემებისთვის, რადგან შეტევის გარკვეული სცენარები არ მოითხოვს მომხმარებლის ანგარიშის ან პაროლის ფლობას.

PHP-ის უსაფრთხოების გუნდმა ასევე დაადასტურა, რომ მოწყვლადობები შეეხება ვებმოთხოვნების დამმუშავებელ სხვადასხვა გარემოს, მათ შორის:

• PHP-FPM;

• Apache mod_php;

• php-cgi;

• FrankenPHP;

• LiteSpeed.

განსაკუთრებით მაღალი რისკი გამოვლენილია Apache mod_php კონფიგურაციაში, სადაც მკვლევრებმა დაადასტურეს შეტევის სცენარი, რომელიც შესაძლებელია ამოქმედდეს მანამდეც, ვიდრე ვებაპლიკაციის პროგრამული კოდი შესრულებას დაიწყებს.

საფრთხის მასშტაბის გათვალისწინებით, ევროპის რამდენიმე ქვეყანაში სახელმწიფო და სხვა ორგანიზაციების ვებგვერდები დროებით გაითიშა, რათა ადმინისტრატორებს უსაფრთხოების განახლებები განეხორციელებინათ.

ორი კრიტიკული მოწყვლადობა - ტექნიკური მიმოხილვა

CVE-2026-109618 - Out-of-Memory Corruption

სიმძიმე: Critical - CVSS 9.2

პირველი მოწყვლადობა დაკავშირებულია PHP-ის მიერ ოპერატიული მეხსიერების მართვისა და მეხსიერების ამოწურვის (Out-of-Memory, OOM) შეცდომების დამუშავების მექანიზმთან.

გარკვეულ პირობებში, მეხსიერების გამოყოფის წარუმატებლობის შედეგად, PHP-ის მიმდინარე მოთხოვნის დამუშავება შეიძლება შეწყდეს იმ ეტაპზე, როდესაც შიდა მონაცემთა სტრუქტურები ჯერ სრულად არ არის ინიციალიზებული.

შემდგომში სისტემამ შესაძლოა ამ მონაცემებს ისე მიმართოს, თითქოს ისინი ვალიდური იყოს.

სპეციალურად ფორმირებული HTTP მოთხოვნებით ამ მდგომარეობის გამოწვევამ შესაძლოა შექმნას მეხსიერების დაზიანებისა და საბოლოოდ მავნე კოდის შესრულების შესაძლებლობა.

CVE-2026-109619 - Stale Global State

სიმძიმე: Critical - CVSS 9.2

მეორე მოწყვლადობა დაკავშირებულია PHP-ის გლობალური მდგომარეობისა და მეხსიერების არასწორ მართვასთან.

გარკვეულ სცენარებში, მოთხოვნის დასრულების შემდეგ, PHP-ის შიდა სტრუქტურებში შეიძლება შენარჩუნდეს მითითებები მეხსიერებაზე, რომელიც უკვე გათავისუფლებულია.

როდესაც იგივე PHP პროცესორი მომდევნო მოთხოვნას ამუშავებს, შესაძლებელია ამ მოძველებულ მითითებებზე წვდომა. ასეთმა მდგომარეობამ შესაძლოა გამოიწვიოს მეხსიერებაში არსებული ინფორმაციის გამჟღავნება ან დისტანციური კოდის შესრულება.

ორივე მოწყვლადობისთვის არსებობს ექსპლუატაციის დადასტურებული ტექნიკური სცენარები. ამასთან, კონკრეტულ გარემოში შეტევის წარმატება დამოკიდებულია სისტემის კონფიგურაციაზე, PHP-ის შესრულების რეჟიმსა და სხვა ტექნიკურ პირობებზე.

რომელი PHP ვერსიებია მოწყვლადი?

უსაფრთხოების შესწორებები უკვე გამოქვეყნებულია PHP-ის ოთხი მხარდაჭერილი ვერსიული განშტოებისთვის.

PHP 8.5: უსაფრთხო განახლება — 8.5.12 ან უფრო ახალი; რეკომენდაცია — დაუყოვნებლივი განახლება.

PHP 8.4: უსაფრთხო განახლება — 8.4.27 ან უფრო ახალი; რეკომენდაცია — დაუყოვნებლივი განახლება.

PHP 8.3: უსაფრთხო განახლება — 8.3.36 ან უფრო ახალი; რეკომენდაცია — დაუყოვნებლივი განახლება.

PHP 8.2: უსაფრთხო განახლება — 8.2.35 ან უფრო ახალი; რეკომენდაცია — დაუყოვნებლივი განახლება.

PHP 8.1 და უფრო ძველი: უსაფრთხო განახლება — ოფიციალური მხარდაჭერა დასრულებულია; რეკომენდაცია — მხარდაჭერილ ვერსიაზე მიგრაცია ან მომწოდებლის უსაფრთხოების შესწორება.

მნიშვნელოვანია, რომ PHP 8.1 და უფრო ძველი ვერსიები აღარ იღებს რეგულარულ უსაფრთხოების განახლებებს უშუალოდ PHP პროექტისგან.

ამ შემთხვევის სიმძიმის გამო PHP-ის გუნდმა სპეციალური მინიმალური შესწორებები PHP 7.4, 8.0 და 8.1 ვერსიებისთვისაც გამოაქვეყნა. თუმცა მათი არსებობა არ ნიშნავს ძველი ვერსიების მხარდაჭერის აღდგენას.

გარდა ამისა, ზოგიერთ Linux დისტრიბუციასა და კომერციულ მომწოდებელს შეუძლია უსაფრთხოების შესწორებების ძველ პაკეტებში ინტეგრირება (Security Backporting). ამიტომ მოწყვლადობის გამოსწორების სტატუსის დადგენისას საჭიროა არა მხოლოდ ვერსიის ნომრის, არამედ მომწოდებლის უსაფრთხოების შეტყობინებების შემოწმებაც.

რას ნიშნავს ეს WordPress-ისა და სხვა CMS პლატფორმებისთვის?

PHP-ზეა დამოკიდებული ისეთი გავრცელებული პლატფორმების ფუნქციონირება, როგორებიცაა WordPress, Drupal, Joomla და მრავალი სხვა ვებაპლიკაცია.

მნიშვნელოვანია ერთი გარემოების გათვალისწინება:

WordPress-ის, მისი თემებისა და პლაგინების განახლება თავისთავად არ ნიშნავს, რომ PHP2Shell მოწყვლადობა გამოსწორებულია.

მოწყვლადობები არსებობს უშუალოდ PHP-ის შესრულების გარემოში და არა მხოლოდ CMS-ის პროგრამულ კოდში.

შესაბამისად, ორგანიზაციამ უნდა გადაამოწმოს ჰოსტინგზე ან სერვერზე რეალურად გამოყენებული PHP ვერსია და უსაფრთხოების განახლების სტატუსი.

Managed Hosting სერვისების მომხმარებლებმა კი უნდა მოითხოვონ პროვაიდერისგან დადასტურება, რომ შესაბამისი უსაფრთხოების შესწორებები უკვე დანერგილია.

რა საფრთხეები შეიძლება შეექმნას ორგანიზაციას?

წარმატებული ექსპლუატაციის შემთხვევაში თავდამსხმელმა შესაძლოა შეძლოს სერვერზე კოდის შესრულება PHP-ის შესაბამისი პროცესის უფლებამოსილების ფარგლებში.

შესაძლო შედეგებია:

კონფიდენციალური ინფორმაციის გამჟღავნება - ვებაპლიკაციის კონფიგურაციის, სერვერზე ხელმისაწვდომი ფაილების, ავტორიზაციის მონაცემებისა და სხვა ინფორმაციის მოპოვება.

ვებაპლიკაციის კომპრომეტაცია - პროგრამული კოდის ან ვებგვერდის შიგთავსის შეცვლა, მავნე ფაილების განთავსება ან ვებშელის (Web Shell) ინსტალაცია.

ბიზნესსერვისების შეფერხება - ვებაპლიკაციისა და მასთან დაკავშირებული სერვისების ხელმისაწვდომობის დარღვევა.

შემდგომი შეტევების განხორციელება - კომპრომეტირებული სერვერის გამოყენება დამატებითი სისტემების შესასწავლად ან სხვა შეტევებისთვის, თუ ქსელური სეგმენტაცია და წვდომის კონტროლი ამის საშუალებას იძლევა.

განსაკუთრებით მაღალი ბიზნესრისკი შეიძლება შეექმნათ ორგანიზაციებს, რომელთა ვებაპლიკაციები ამუშავებს ფინანსურ ოპერაციებს, მომხმარებელთა პერსონალურ მონაცემებს, ტრანზაქციებს ან უზრუნველყოფს კრიტიკული მომსახურების მიწოდებას.

რა უნდა გააკეთონ ორგანიზაციებმა დაუყოვნებლივ?

1. PHP-ზე დამოკიდებული სისტემების იდენტიფიცირება

პირველ რიგში უნდა განხორციელდეს ორგანიზაციის ინფრასტრუქტურაში არსებული PHP ინსტალაციებისა და მასზე დამოკიდებული სერვისების ინვენტარიზაცია.

შემოწმებამ უნდა მოიცვას როგორც ინტერნეტიდან ხელმისაწვდომი ვებგვერდები, ისე შიდა კორპორაციული აპლიკაციები, სატესტო გარემოები, კონტეინერები და მესამე მხარის პროგრამული პროდუქტები.

2. რისკზე დაფუძნებული პრიორიტეტიზაცია

განახლებების განხორციელებისას პრიორიტეტი უნდა მიენიჭოს ინტერნეტიდან ხელმისაწვდომ სისტემებს, განსაკუთრებით იმ სერვისებს, რომლებიც ამუშავებენ სენსიტიურ მონაცემებს ან უზრუნველყოფენ კრიტიკულ ბიზნესპროცესებს.

შიდა სისტემებიც უნდა შეფასდეს, რადგან თავდამსხმელმა, რომელსაც უკვე აქვს შეღწევა ორგანიზაციის ქსელში, შესაძლოა ისინი შემდგომი შეტევის სამიზნედ გამოიყენოს.

3. უსაფრთხოების განახლებების დაუყოვნებლივი დანერგვა

მხარდაჭერილი PHP ვერსიები უნდა განახლდეს ოფიციალურად გამოქვეყნებულ უსაფრთხო ვერსიებამდე.

განახლება უნდა განხორციელდეს ცვლილებების მართვის პროცედურის შესაბამისად, აუცილებელი წინასწარი შემოწმებითა და აღდგენის გეგმით.

განახლების შემდეგ უნდა გადამოწმდეს არა მხოლოდ დაყენებული პაკეტი, არამედ ისიც, რომ უშუალოდ ვებმოთხოვნების დამმუშავებელი PHP პროცესები უკვე შესწორებულ ვერსიას იყენებენ.

4. დროებითი დამცავი ზომების გამოყენება

თუ განახლება დაუყოვნებლივ შეუძლებელია, ორგანიზაციამ უნდა შეაფასოს მოწყვლადი სერვისის დროებით იზოლირების ან საჯარო ქსელიდან გათიშვის საჭიროება.

PHP-ის ოფიციალური რეკომენდაციები ასევე ითვალისწინებს გარკვეულ დროებით ტექნიკურ ზომებს, მათ შორის:

• session.upload_progress.enabled=0 პარამეტრის გამოყენებას და შესაბამისი PHP პროცესების გადატვირთვას;

• PHP 8.5-ის შემთხვევაში fatal_error_backtraces=0 პარამეტრის გამოყენებას;

• HTTP მოთხოვნების ზომებისა და PHP-ის მეხსიერების პარამეტრების დამატებით კონტროლს;

• Web Application Firewall-ის (WAF) შესაბამისი წესებისა და დაცვის მექანიზმების აქტივაციას.

ეს ცვლილებები უნდა დაინერგოს კონკრეტული გარემოს ტექნიკური შეფასების შემდეგ, რადგან ზოგიერთმა პარამეტრმა შეიძლება გავლენა იქონიოს აპლიკაციის მუშაობასა და ხელმისაწვდომობაზე.

მნიშვნელოვანია: დროებითი შემარბილებელი ზომები არ უზრუნველყოფს მოწყვლადობების სრულ აღმოფხვრას და არ ანაცვლებს უსაფრთხოების განახლებას.

5. მონიტორინგისა და ინციდენტების აღმოჩენის გაძლიერება

უსაფრთხოების გუნდებმა განსაკუთრებული ყურადღება უნდა მიაქციონ Apache, PHP-FPM და ვებაპლიკაციების ჟურნალებს.

რეკომენდებულია შემდეგი ინდიკატორების მონიტორინგი:

• PHP ან ვებსერვერის პროცესებიდან არატიპური სისტემური ბრძანებების შესრულება;

• ვებაპლიკაციის დირექტორიებში ახალი ან შეცვლილი საეჭვო ფაილები;

• PHP პროცესების მოულოდნელი დასრულება, მეხსიერების შეცდომები და უჩვეულო გადატვირთვები;

• არატიპური HTTP მოთხოვნები და WAF-ის მიერ დაფიქსირებული შეტევის მცდელობები;

• სისტემაში ახალი ანგარიშების, დაგეგმილი დავალებებისა და საეჭვო გარე კავშირების გამოჩენა.

მონიტორინგის პროცესში სასურველია არსებული SIEM, EDR/XDR და სხვა უსაფრთხოების ინსტრუმენტების გამოყენება.

თუ გამოიკვეთა კომპრომეტაციის ნიშნები, ორგანიზაციამ უნდა აამოქმედოს ინციდენტზე რეაგირების პროცედურა და უზრუნველყოს შესაბამისი მტკიცებულებების შენარჩუნება.

6. მესამე მხარეებისა და ჰოსტინგ-პროვაიდერების კონტროლი

ორგანიზაციებმა, რომლებიც იყენებენ აუთსორსულ ვებდეველოპმენტს, Managed Hosting-ს ან მესამე მხარის მიერ მართულ ბიზნესაპლიკაციებს, უნდა გადაამოწმონ მომწოდებლების მზადყოფნა.

მიზანშეწონილია მომწოდებლებისგან შესაბამისი უსაფრთხოების განახლებების განხორციელების დადასტურებისა და დარჩენილი რისკების შესახებ ინფორმაციის მიღება.

რატომ არის PHP2Shell მნიშვნელოვანი ინფორმაციული უსაფრთხოების მართვისთვის?

PHP2Shell მხოლოდ ტექნიკური მოწყვლადობა არ არის. ეს შემთხვევა კიდევ ერთხელ აჩვენებს, რამდენად მნიშვნელოვანია ორგანიზაციებისთვის ტექნოლოგიური აქტივების სრული აღრიცხვა, მხარდაჭერილი პროგრამული უზრუნველყოფის გამოყენება და მოწყვლადობებზე დროული რეაგირება.

მოწყვლადობების მართვა უნდა წარმოადგენდეს ინფორმაციული უსაფრთხოების მართვის სისტემის განუყოფელ ნაწილს და მოიცავდეს აქტივების ინვენტარიზაციას, საფრთხეების შეფასებას, უსაფრთხოების განახლებების დანერგვას, მესამე მხარეების კონტროლსა და ინციდენტებზე რეაგირებას.

ამ მიმართულებით განსაკუთრებით აქტუალურია ISO/IEC 27001:2022-ის ისეთი კონტროლები, როგორიცაა:

• A.8.8 - Management of Technical Vulnerabilities

• A.8.9 - Configuration Management

• A.8.15 - Logging

• A.8.16 - Monitoring Activities

• A.5.19 - Information Security in Supplier Relationships

კონკრეტული შემთხვევის მიმართ დროული ტექნიკური რეაგირება მნიშვნელოვანია, თუმცა გრძელვადიანი კიბერმედეგობისთვის ორგანიზაციას ასევე სჭირდება შესაბამისი პასუხისმგებლობების, პროცესებისა და კონტროლის მექანიზმების ჩამოყალიბება.

დასკვნა

PHP2Shell-ის შემთხვევა კიდევ ერთხელ ადასტურებს, რომ ფართოდ გამოყენებულ პროგრამულ კომპონენტში აღმოჩენილმა ერთმა კრიტიკულმა მოწყვლადობამაც შეიძლება საფრთხე შეუქმნას მრავალი ორგანიზაციის ციფრულ სერვისებს.

ორგანიზაციებისთვის მთავარი პრიორიტეტია PHP-ზე დამოკიდებული სისტემების დროული იდენტიფიცირება, მოწყვლადი ვერსიების განახლება, დამატებითი მონიტორინგის განხორციელება და საჭიროების შემთხვევაში ინციდენტზე რეაგირების პროცესების ამოქმედება.

კიბერუსაფრთხოების ეფექტიანი მართვა იწყება იმის ცოდნით, თუ რა ტექნოლოგიურ აქტივებს ფლობს ორგანიზაცია, რა რისკებს შეიცავს მათი გამოყენება და რამდენად სწრაფად შეუძლია ორგანიზაციას გამოვლენილ საფრთხეებზე რეაგირება.

IO Consulting რეკომენდაციას უწევს ორგანიზაციებს, დროულად გადაამოწმონ PHP-ზე დამოკიდებული ინფრასტრუქტურის უსაფრთხოების მდგომარეობა და კრიტიკული მოწყვლადობების მართვას სისტემური მიდგომა დაუქვემდებარონ.

წყაროები

PHP - ოფიციალური უსაფრთხოების შეტყობინება, 21 ოქტომბერი, 2026 — https://www.php.net/archive/2026.php#2026-10-21-5

CVE-2026-109618 - PHP Security Advisory — https://github.com/php/php-src/security/advisories/GHSA-w8hw-w9fx-j79w

CVE-2026-109619 - PHP Security Advisory — https://github.com/php/php-src/security/advisories/GHSA-6wmf-4rv5-p3rp

Cloudflare - PHP2Shell Vulnerability and WAF Protection — https://blog.cloudflare.com/php-vulnerabilities-waf-protection/

UK NCSC - Critical Security Issue Affecting PHP — https://www.ncsc.gov.uk/news/critical-security-issue-affecting-php