Исследователи JFrog опубликовали новый анализ уязвимостей PHP2Shell, зарегистрированных под идентификаторами CVE-2026-109618 и CVE-2026-109619. По их словам, эти уязвимости не требуют особой конфигурации или плагинов и затрагивают непосредственно движок PHP — язык программирования, используемый многими веб-сайтами.
Для этой работы исследователи заявили, что восстановили механизм работы уязвимостей до их публичного раскрытия. Они также разработали рабочие доказательства концепции (PoC) — программы, демонстрирующие возможность эксплуатации уязвимости.
Уязвимости, обходящие защиту приложения
Согласно контекстным сканерам безопасности JFrog, уязвимости затрагивают обработку multipart POST-запросов, а также файлы отслеживания прогресса сессий. Вредоносные данные десериализуются (восстанавливаются из сырой формы) ещё до выполнения прикладного скрипта. Таким образом, никакая логика приложения не может заблокировать вредоносный код.
По данным JFrog, эксплойт использует механизм PHP, связанный с прогрессом сессий, и прибегает к сериализации фиктивных объектов, чтобы получить контроль над регистром RIP — компонентом, который указывает процессору, какую инструкцию выполнять. Это может позволить выполнение удалённого кода без аутентификации (RCE) или раскрыть содержимое памяти, как в случае с Heartbleed.
В обращении находятся фальшивые эксплойты
В то время как команды безопасности спешат развернуть патчи, JFrog обнаружила на GitHub поддельные доказательства концепции эксплуатации. Этот контент распространяется злоумышленниками, пользующимися неразберихой, также распространяются вредоносные программы-розыгрыши.
JFrog сообщает, что её продукты Xray и Catalog теперь включают информацию об уязвимостях CVE-2026-109618 и CVE-2026-109619. Цель — помочь компаниям проанализировать свои среды и выявить подверженные риску системы. Полный технический анализ, детализирующий механизмы эксплуатации, доступен в блоге JFrog Research.
Нив Ланьядо, руководитель группы исследований безопасности JFrog, подчеркивает необходимость расширенного мониторинга:
«В случае с PHP2Shell компаниям необходимо понимать, что уязвимость срабатывает в самом ядре движка PHP, ещё до выполнения прикладного кода. Традиционные средства защиты на уровне приложения не могут её заблокировать, и никакие обходные манёвры в их коде не помогут. Автоматизированный мониторинг всех сред крайне важен, особенно для выявления устаревших или неподдерживаемых установок PHP, которые больше не будут получать бинарные обновления от поставщика. Цель — убедиться, что каждая уязвимая система немедленно исправлена или изолирована».
