Содержание 5
Насколько опасна пара дыр в PHP под названием PHP2Shell? Оценка CVSS 9.2 говорит сама за себя. Им присвоили номера CVE-2026-109618 и CVE-2026-109619 и оценку CVSS 9.2. Обе позволяют выполнить произвольный код удалённо без авторизации, а исправления вышли 21 октября 2026 года. Проблема касается не только хостинга: PHP работает в интерфейсах NAS, файрволах и контейнерах Nextcloud.
PHP2Shell: суть уязвимости
Ошибки связаны с обработкой запросов, которые PHP получает от веб-сервера. Злоумышленник может подставить данные так, что интерпретатор выполнит чужой код. Для атаки не нужны учётные данные, достаточно открытого порта. Именно поэтому уязвимость считают критической.
PHP2Shell: затронутые устройства
В первую очередь владельцев QNAP: компания ещё готовит обновление. OPNsense и pfSense уже выпустили патчи, а контейнеры Nextcloud нужно пересобрать на исправленном образе. Старые установки Pi-hole тоже под угрозой. Если устройство доступно из интернета, риск особенно высок.
Стоит добавить, что производители NAS публикуют списки уязвимых моделей. Проверить свою версию можно по номеру прошивки в веб-интерфейсе. Если обновления нет, устройство лучше временно отключить от интернета.
Порядок действий для владельцев
Проверьте версию PHP и установите обновление, как только оно появится. Пока патча нет, закройте веб-интерфейс от внешнего доступа или ограничьте его VPN. Смените пароли и проверьте журналы на подозрительные запросы. Если на устройстве были токены и ключи, их стоит перевыпустить.
Контекст для домашних серверов
PHP остаётся одним из самых распространённых языков для веб-приложений и домашних серверов. Одна ошибка в интерпретаторе затрагивает миллионы устройств одновременно. Для владельца NAS это значит, что обновлять нужно не только прошивку, но и контейнеры с PHP.
Отдельно стоит сказать про контейнеры: в Docker-образы PHP встроена конкретная версия интерпретатора, и обновление базового образа автоматически исправляет уязвимость. Тем, кто собирал образ вручную, нужно пересобрать его с новым тегом. Это самая частая причина, по которой патч не доходит до устройства.
Похожие материалы: взлом VMmanager 6 и TLS-сертификаты eMudhra. Об уязвимости пишут Notebookcheck и Racktop Systems.
PHP2Shell напоминает, что домашние NAS давно стали полноценными серверами. Их безопасность зависит от регулярных обновлений, а не только от пароля на входе.
Читайте также: Western Digital.
Читайте также: зарядка Chery Volt-dragon.
Текст: TehnoRex
Ещё про Ноутбуки и ПК
Все материалы →
сегодня · НовостиLinux-ядро: две дыры KSMBD с оценкой 9.0 раскрыли раньше патча
сегодня · НовостиWestern Digital нарастила выручку на 55% и ждёт дорогих накопителей
вчера · НовостиHONOR Pad X7b вышел в России: 15 990 рублей за версию 4+64
вчера · НовостиMechrevo 14 Max Carbon: 21 час работы при 72 Вт·ч