PHP2Shell が立ち上がる:CVSS 9.2、開口日の前日、および2つの穴は10年間コードにありました。
まず、結論は、次のとおりです。PHP は、CVSS 9.2、CVE-2026-109618、CVE-2026-109619 の非正規のリモートコードを生成し、PHP2Shell というニックネームを伴います。 10月20日、Amazonのハニーキャニスターが10月17日(金)から4日(日)にリリースされたまま、10月21日(土)に公開されました。
他のことよりも悪いこと: これらの2つの穴は、PHP 5.4に取得するための最初のものです。つまり...過去10年間にコードを組んだ。お問い合わせ そして2024年に、PHPのコア開発者の監査がOMMのパスを発見したとき、チームはそれを修正する方法を議論するために会った。同意しておらず、修正しませんでした。お問い合わせ 理由は、それが本当に使用することができると思ったものではないということです.
このフレーズは、特にアイロンをかけています。 穴が重要でないというわけではなく、ヒトの研究者の物理的能力を超えて行くためにチェーンが複雑すぎるという理由です。 そこで、AIがやって来て、それを書いた。
まずは、「多国籍緊急対応」という単語を外に出ます。 お問い合わせ
タイトルパーティーのお気に入りワードは「グローバルアラーム」です。 今回は誇張ではありませんが、クリアなスコアです。
- PHP 公式: 10月20日(火)に事前通知が発令され、10月21日(火)14時00分に、詳細が漏れたり、フィールドを抜いたりすると、安全なバージョンでUTCがリリースされます。 その結果、CVE番号はハッカーニュースに同日に固定され、10月22日に予定されているリリースは1日前に強制されました。
- コンサートEU: リリースアドバイザリー 2026-018 と CVE の両方を含む。
- クラウドフレア10月21日、CTO Dane Knechtは直接「早期攻撃が出現する」と述べ、無料ユーザーを含むWAFルールは完全でリリースされました。 しかし、彼は、それがちょうど停止ギャップだったことを自分自身を強調し、実際の解決策はパッチを当てていました。
- Amazonの脅威情報: 10月17日、MadPot の蜂蜜缶が捕らえられ、10月21日に別のバッチが捕捉され、さまざまな攻撃者を指すペイロードとインフラが指摘した。 php2shell "既に広く使われています。
- Towr を見る: 両方の穴が再エマージされ、両方を悪用しようとすると観察されます。
そのため、「攻撃が発見された」はレンダリングではなく、事実です。 そして、多国籍緊急対応はブローではありません - それは、応答の主要な主題は、メーカー、CDN、緊急機関、国内の政府ではありません。
2つ、2つの穴、2つの完全に異なる染色方法。
多くの人が2つの数字の穴だそうです。 これらは、各CVSS 9.2の2つの別々の攻撃経路です。
CVE-2026-109618: メモリが枯渇したときに爆弾
PHP メモリ分布が失敗したときにリクエストの処理が中断されます。 問題は:この時点で、内部リクエストデータは半減化され、その後のクリーンアップロジックは、有効なデータとして、この未組みの悪いデータの一部を使用しました。
トリガーメソッドは簡単です: 複数のリクエストをビルドしてメモリを単純化します。 奇妙なことは、リクエストのサイズは天井に合わせているようです。設定した最大サイズではなく、デコーダメントと内部処理の消費です。
最悪は mod php です。 起動が失敗した時に Apache の Mod php を修正まだまだ掃除が進んでいます。そのため、該当するコードが実行される前に、このチェーンは完了することができます。 PHP のコードはとてもきれいで、ループホールはありません。停止はありません。
PHP-FPM は起動に失敗したときにワーカーを殺します。チェーンを切るだけなので、正式に mod php は最高リスクです。 しかし、注意を払う - これはFPMが安全であるという意味ではありません。スタートアップ成功後悪用の可能性はまだあります。
CVE-2026-109619:要求間の汚い状態
この方が悪いです。 PHP は、ワーカープロセスを複数のリクエストを処理するように再利用します。 メモリを解放する最後のリクエストは、ポインタは内部状態に残ります。次のリクエストは、通常の初期化の前に空白のアドレスを読みます。お問い合わせ
致命的なエラー(メモリの枯渇、パフォーマンスタイムアウト)は、状態のクリーンアップを中断します。 更に悪くても、シャットダウン中にいくつかの非野外診断は間違った状態を置き換えています。それをやり直す。お問い合わせ
正式に確認されたパスウェイには、PHP 8.5 が有効な場合の致命的なエラーで RCE と、セッションのライフ サイクル RCE をモーター php と FPM で実行します。session.upload_progress デフォルトでは、filthの状態の初期の消費者として機能できます。コールを申請する必要はありません。お問い合わせ
この穴はついています。記憶漏出お問い合わせ 漏れは? パスワード、トークン、API キー、プロセスメモリ内の他の要求の証明書です。 ハートブルドに比べて直接ワイズ。
タイムライン、タイトル以上のルック。
| タイムタイム | 何が起こったのか? |
|---|---|
| 年 2024 | PHP のコア開発者の監査では、OOM が見つかり、そのバグは、このチームが法律で合意無しにし、保持している。 |
| 2026-08 | カリフのライアン・オースティンは、OpenAI GPT-5.6 Solでループホールを識別します。 |
| 2026-10-17 | AmazonのMadPot、ハチミツは、開封の4日前、試行を記録することができます。 |
| 2026-10-20 | ハッカーニュースとソーシャルメディアで漏れたCVE番号、PHP |
| 2026-10-21 | 14:00 UTC出版 8.5.12 / 8.4.27 / 8.3.36 / 8.2.35 |
10月17日はシングルアウトする必要があります。公の日は20日でしたが、17日に攻撃が行われました。Amazonの提案は簡単です。開始点は開示日ではなく、10月17日までに転送してください。
攻撃者がどのように情報を得たかに関しては、アマゾンは「明らかではない」と述べた。 ここまで行くことはできませんが、現実を受け入れる必要があります。開示日は、攻撃の日ではなく、最後に知っていた日でした。
今回は本当にAIです。
Wizのブログには、私が2回読んでいる文章が含まれています。 「これらの根本的な欠陥は10年間存在していますが、彼らが使用できることを証明するために、彼らは人間の研究者の実際の能力の余白に、ステップの非常に複雑なチェーンを必要とします。フロントラインAIモデルは、この閾値を大幅に低下させます。お問い合わせ
具体的に: カリフの研究者であるライアン・オースティンは、GPT-5.6 Sol で OpenAI プロジェクト「Patch the Planet」で発見されました。 Wizは独立して同じ問題を発見しました。 そのためには、各ターゲットの不具合やターゲットのチェーンが必要となります。記憶レイアウト 繰り返し校正Wiz は、フロントラインモデルで、さまざまなアプリケーションを時間内に開発できると述べています。
「AIが再び勝ちました」という意味ではありません。点は「コンプレックス」のモットが失敗していることです。
多くの古いループホールは、彼らが真剣ではないのでではなく、過去2十年で殴られていませんが、利用のしきいしが高すぎているため、トップ研究者と少しの運による投資の数週間。 「理論的に危険な」列に置く。 今、このフェンスは消えています。
お使いのシステムに横たわる10年目のホールで、「差分と加工されていない」と評価されると再評価される必要があります。
あなたが行くべき5、?
| スタッフ | 欠陥のあるバージョン | 免責事項 |
|---|---|---|
| PHP の 8.5 | < 8.5.12 | 8.5.12 に上げます。 |
| PHP の 8.4 | < 8.4.27 | 上昇 8.4.27. |
| PHPの8.3 | < 8.3.36 | 8.3.36 に上げます。 |
| PHPの8.2 | < 8.2.35 | 8.2.35 に上げます。 |
| PHP の 7.4/8.0/8.1 | すべて | 公式公開されていない、ソースレベルのみ |
| PHP 5.4 – 7.3 | すべて | 政府はそれを修正しません。 事業内容 |
いくつかの現実のリマインダー:
- Linux リリースと LTS ベンダー事前にパッチを当ててください。ディストリビューションパッケージでメーカーのアドバイザリーを確認してください。 ソースコードを破棄しないでください。
- 使用条件
rpms.remirepo.net注意: PHPは10月21日に正式にソースを述べた。更新なしディストリビューションパッケージに切り替えたり、ソースコードから作ることができます。 - PHP 8.5 の Windows バイナリも公式ダウンロードページです。
- コンテナ内で実行するのは大丈夫です。コンテナミラーの PHP バージョンはチェックする必要があります。
パッチが届かない場合は、これら4を最初に作ってください。
最初の状態:以下のいずれかが安全になります。正式なPHPフレーズは「特定の攻撃パスへの暴露を減らしますが、インストールを安全にしないでください」です。 彼らの値は、パッチを取得する時間を与えることです。
メモリ制限を-1に設定する
目的: 予測可能な PHP メモリ キャップを失敗させるには、CVE-2026-109618 が依存するトリガー条件を確認しました。
ポイントは、お問い合わせ: FPMプールなど、アプリケーションが未指定の場所に設定される php_admin_value または Apache の設定。 ポップアップ、ディレクトリ、アプリケーション設定がない場合、リミットバックを追加することを確認してください。その後、すべてのワーカーを再起動します。
価格は明確です: PHP のメモリフェンスを外して、下部のディストリビューションの失敗は危険なパスにあるかもしれません。 そのため、カバーを制限するためにコンテナやcgroupである必要があります。しかし、それは「影響を受けた人々をキルする」という戦略です。RLIMIT AS または RLIMIT DATA を使用しないでください。これらの2つは正確にループホールを作成する配分の失敗の一種です。
ポストの最大サイズを削減
ファイルなしでサイト 8M ファイルに 32M と保証 upload_max_filesize それよりも少ない。 同時に、Webサーバーまたはプロキシレイヤーに制限が加えられます。リクエストのボリュームがデコードされ、フィールドの数、マルチパーツ数、ヘッド数、ネストの深さ。これらの制限は、有効なコンテンツの長さでない要求をカバーする必要がありますまたはその周辺に行きます。
3. session.upload プロセスをオフにする
session.upload_progress.enabled = 0php.ini、FPMツール、サーバ設定で書かれています。リクエストの前に有効である必要があります。お問い合わせ 使用条件 ini_set() またはFPM。 .user.ini 遅すぎて・・・汚れた。 変更は、すべてのワーカーを再起動することも可能です。
PHP の 8.5 1 つ以上のシングル
fatal_error_backtraces = 0このブロックは、他のバリアントなしで致命的なエラーバックトラックだけを確認しました。 また、管理者レベルの設定 + ワーカーを再起動する必要があります。
さらに、多くの人が無視する公式の言及:攻撃者がタイムアウトをトリガーして実行できる致命的なエラーを修正します。バックアップ、アップロード、インポート処理、クリーンアップ障害を含む。 そして...リクエストごとに課外されたまたは違法な構成を削除- それらはそれを初期化し、漏出に与える前に診断情報を置きます。
この最後の文は最も簡単に誤解されます:エラー報告、表示エラー、@で診断を非表示に動作しません。それは起こらない。
VII。 本物のレッスン
「パッチを閉じる」を書くことで終わりたくない。 もちろんパッチです。 今日です。 しかし、いくつかの判断は変更する必要があります。
- 「使いやすさ」という用語は「予約」と同じではありません。PHP この穴のアクセスチェーンは、既に助けを借りたAIの助けを必要とするほど複雑です。 「理論リスク」をマークする資産リストの古い穴が再評価されるべきです。
- 1つのポイントで言語が実行されます。WordPress、Drupal、Joomla、Magento、MediaWikiはすべてPHPで実行され、アプリケーションコードの監査がきれいで、PHPコアは問題です。 インフラレイヤーのコンペンデントリズム、アプリケーションレイヤーを分離。
- 「実行せずにアプリケーションコードが壊れる」 WAFは遅延のみ対応可能です。Cloudflare自身が止まったと言いました。 WAFをルールカバレッジに命を与えるソリューションの同等物として置きます。
- PHPを使っている国にはたくさんの古いサイトがあります。PHP 5.6/7.0 で動作するこれらのステーションは、長期的に維持され、クラウドのメインフレームに吊り下げられていましたが、1.3～1.9万の露出です。 通知は届きません。
データキャリブレーションは記録されます:W3Techsは、サービスに知られる言語の69.3分のPHPsアカウントとWiz 70パーセントを言います。 暴露ホスト、セキュリティ研究者Silias Cutlerは1.3百万を超える見積り、Henk Poley ' s Shodan検索は1.9万を超えています。 これらの数字は異なるキャリブレスであり、それらを正確な値として使用しませんが、スケールは同じです -全世界で100万人
CVE番号が漏れた場合、出てきたCVSSポイントが10.0だったと、PHPが正式に確認されました。そのスコアが間違っていた。実際に 9.2 です。 この詳細について何かが分かっていませんが、常に循環しています。 10.0 を見ると、それが何であるかを知ることができます。
10年ホール、2ヶ月のAI支援研究、初期利用4日間、1日パッチウィンドウ。 このタイムスケールは、以下のすべての基本的なソフトウェアの正常です。
今すぐバージョンを確認してください。php -vまたは、コンテナのミラーをタグで表示します。 明日は待ちません。