PHP2Shell: PHP жүйесінде екі аса қауіпті осалдық анықталды

KZ-CERT PHP нұсқаларын тексеріп, қауіпсіздік жаңартуларын орнатуға кеңес береді.

Компьютерлік инциденттерге ден қою ұлттық қызметі KZ-CERT PHP жүйесінде PHP2Shell атауымен белгілі екі аса қауіпті осалдық — CVE-2026-109618 және CVE-2026-109619анықталғаны туралы ескертті.

Екі осалдық та CVSS шкаласы бойынша 10 балдың 9,2-сіне бағаланды. Белгілі бір жағдайларда зиянкестер оларды авторизациясыз серверде кодты қашықтан орындау үшін пайдалана алады. Ықтимал салдары — деректердің сыртқа шығуы, файлдардың өзгертілуі немесе жойылуы, сайттар жұмысының бұзылуы.

Осалдықтар тиісті түзетулері орнатылмаған PHP-дің қазіргі және ескірген нұсқаларына әсер етеді. WordPress, Drupal, Joomla және Magento сияқты әртүрлі платформалардағы сайттарға қауіп төнуі мүмкін.

PHP-дің түзетілген нұсқалары

PHP әзірлеушілері осалдықтарды келесі нұсқаларда түзетті:

• PHP 8.2.35
• PHP 8.3.36
• PHP 8.4.27
• PHP 8.5.12

PHP 8.1 және одан бұрынғы нұсқалар үшін PHP әзірлеушілері ресми жаңартулар шығармайды. Кейбір бағдарламалық жасақтама жеткізушілері бұл нұсқаларға да түзетулер ұсынады, алайда ескірген PHP нұсқаларын пайдалану қосымша қауіпсіздік тәуекелдерін сақтайды. Сондықтан PHP-дің өзекті нұсқаларына көшу ұсынылады.

KZ-CERT ұсынымдары

• Қолданылатын PHP нұсқаларын тексеріп, қауіпсіздік түзетулерін орнату.
• Жаңартулардың қолданылғанына және серверлік процестердің қайта іске қосылғанына көз жеткізу.
• Серверлерде күмәнді белсенділіктің бар-жоғын тексеру.
• Егер жаңартуды әзірге орнату мүмкін болмаса, уақытша қорғаныс шараларын қолданып, осал сервистерге сырттан қолжетімділікті шектеу мүмкіндігін қарастыру.

Уақытша шаралар тәуекелдерді азайтады, бірақ қауіпсіздік түзетулерін орнатуды алмастырмайды.

Толық техникалық ұсынымдар KZ-CERT сайтындажарияланған. Оларды сайттарыңыздың әзірлеушілері мен әкімшілеріне беруге кеңес береміз.

2026 жылғы 22 қазан