Анализирахме следното твърдение: вярно ли е, че
доставчиците на хостинг са предоставили допълнителни обновления срещу PHP2Shell, докато част от оборудването за мрежова сигурност все още се нуждае от пачове от производителите, а наличието на инсталирани компоненти на PHP не означава непременно, че даден продукт е уязвим?
CloudLinux пусна съответстващи софтуерни обновления, Palo Alto Networks потвърди, че част от защитното оборудване все още очаква поправки, а OpenText доказа, че наличието на инсталирания софтуер не означава непременно излагане на риск за устройството.
Отстраняването на уязвимостите PHP2Shell оставя мрежовото оборудване за сигурност без защита
Доставчиците на уеб хостинг внедряват поправки за критични пробиви в интернет, докато ключов мрежов хардуер остава уязвим в очакване на обновления.
Историята продължава
Корпоративните защитни стени бързат да затворят критичен пробив в уеб софтуер
31 октомври 2026 г.Водещите доставчици на киберсигурност пускат извънредни корекции, докато корпоративните мрежи остават уязвими за атаки.
Защо обновените уебсайтове остават уязвими за атаки
30 октомври 2026 г.Инсталирането на последните софтуерни корекции вече не е достатъчно, за да гарантира защитата на дадена онлайн услуга.
Пропуски в популярен уеб език засягат корпоративните защитни стени
27 октомври 2026 г.Дефекти в масово използван програмен инструмент принуждават охраната на фирмените мрежи да изчаква специализирани софтуерни поправки от производителите.QNAP пусна корекции за шест платформи за съхранение на данни след пробив в сигурността
24 октомври 2026 г.Производителят защити шест операционни системи срещу отдалечено превземане, но четири специализирани серии остават уязвими.
Нова уязвимост в PHP усложнява защитата на уебсайтовете
24 октомври 2026 г.Самото инсталиране на софтуерни обновления може да се окаже недостатъчно, ако определени системни настройки останат активни.
Същината
Два критични дефекта в софтуера PHP, управляващ милиони уебсайтове, позволяват на нападатели да изпълняват зловреден код на незащитени сървъри без въвеждане на парола. Докато масовите уеб хостинг платформи вече получават официални поправки, корпоративното мрежово оборудване от водещи производители остава уязвимо, тъй като специфичните хардуерни обновления се очакват едва в края на октомври.
Акценти
- Две критични уязвимости – CVE-2026-109618 и CVE-2026-109619 – позволяват изпълнение на зловреден код без оторизация и парола.
- CloudLinux достави обновените софтуерни пакети на PHP за хостинг доставчиците на 23 октомври.
- Palo Alto Networks насрочи първите поправки за своите защитни стени за периода между 26 и 30 октомври.
- OpenText потвърди, че нейните устройства за автентикация не са уязвими, тъй като активните им уеб процеси не изпълняват засегнатия код.
- Palo Alto Networks все още не е обявила потвърдени дати за защита на платформите за управление Panorama и системите WildFire.
Из дневника на редактора
Наличието на даден софтуерен пакет в сървъра не означава задължително, че устройството е уязвимо, както и защитеният публичен сайт не гарантира, че мрежовият хардуер зад него е в безопасност.
Кой участва
CloudLinux
Американски доставчик на сървърен софтуер и PHP пакети за хостинг компании
цел → Да осигури надеждни обновления за поддържаните системи, без да нарушава работата на клиентските уебсайтове
Palo Alto Networks
Американски производител на оборудване за киберсигурност и корпоративни защитни стени
цел → Да защити административните интерфейси и да предостави поправки, без да предизвиква сривове в клиентските мрежи
OpenText
Канадски разработчик на корпоративен софтуер, чиито устройства за сигурност включват пакети на PHP
цел → Да установи реалната степен на риск и да осигури официални пътища за обновяване на клиентите си
The PHP Project и PHP Foundation
Групата от доброволни разработчици и фондацията с нестопанска цел, които поддържат езика за програмиране PHP
цел → Да отстранят дефектите в основния софтуерен код и да осигурят ясни технически насоки за разработчиците
Информационният технологичен център на Китайския университет в Хонконг (Chinese University of Hong Kong)
Технологичното звено за поддръжка към водещ университет в Хонконг
цел → Да предупреди мрежовите администратори за засегнатите устройства и да предостави нови защитни правила за засичане на атаки
Накратко
Обновяването на самия уебсайт вече не е достатъчно за неговата защита, когато хардуерът за сигурност в дълбочината на мрежата зад него остава уязвим за два критични дефекта, известни като PHP2Shell. Това разминаване при отстраняването на проблема създава реален риск защитните стени да останат отворени за пробиви дни след като стандартните уеб сървъри вече са обезопасени. Причината е, че производителите на специализирано оборудване трябва да разработят отделни съвместими поправки за всяко устройство, което забавя защитата до края на октомври.
PHP е основната среда, която обработва заявките на милиони уебсайтове по света. Двата новооткрити дефекта, регистрирани като CVE-2026-109618 и CVE-2026-109619, позволяват на външни лица да изпълняват злонамерен програмен код върху незащитен сървър, без да се изисква парола или автентикация.
Към 23 октомври реакцията в сектора се раздели. Американската компания CloudLinux, чийто софтуер обслужва сектора на споделения уеб хостинг, пусна обновени пакети със стандартни номера на версиите, за да гарантира сигурността на клиентите, чиито сървъри вече разчитаха на предварителни корекции.
Предистория
Отстраняването на уязвимостта PHP2Shell зависи от това кой управлява сървъра
23 октомври 2026 г.Дефект в основата на интернет заплашва милиони сайтове, но защитата изисква намеса на ниво сървър, а не на самото приложение.
Как се разви
Нов одит открива повторно нерешен софтуерен дефект
На 30 юли 2026 г. фирмата за одити по киберсигурност Calif започна проверка на програмния код на PHP в рамките на инициатива, подкрепена от лабораторията за изкуствен интелект (AI) OpenAI. Поддържащите езика експерти от PHP Foundation подозираха за наличието на свързан проблем в управлението на паметта още след вътрешен анализ през 2024 г., но никой дотогава не беше доказал, че уязвимостта позволява пълен външен контрол над системата. През август Calif демонстрира работещ метод за атака, докато изследователи от OpenAI и специализираната в облачни услуги компания Wiz независимо от тях сигнализираха за свързани дефекти. Екипите предадоха констатациите си директно и конфиденциално на разработчиците на PHP.
Изтичане на информация през октомври предизвика извънредна реакция, което принуди фондацията да разкрие как първоначалният поверителен план за поправка се е провалил, преди официалните защитни мерки да достигнат незабелязано до всички потребители. Този пробив на поверителността отприщи мащабни глобални проверки, за да се установи къде точно се намира уязвимият код.
Разминаване в темпото на защита между хостинг доставчиците и мрежовия хардуер
Към 23 октомври същината на проблема се премести от написването на софтуерната поправка към нейното внедряване във всяко корпоративно устройство, което съдържа скрития код. CloudLinux разпространи обновени пакети, съответстващи на официалните номера на изданията, което позволи на уеб хостинг компаниите бързо да проверят защитата на своите системи.
Други производители се сблъскаха с различна реалност, която показа, че кои уебсайтове и оборудване остават уязвими зависи изцяло от архитектурата на внедрения софтуер. OpenText посочи, че нейните устройства съдържат файлове на PHP, но те не обработват активен уеб трафик, което оставя съответните системи извън опасност.
Palo Alto Networks публикува по-тревожно съобщение: уеб интерфейсите за управление на нейните защитни стени остават уязвими за пробива, като планираните софтуерни обновления се очакват между 26 и 30 октомври. Други ключови системи, сред които и платформата за централизирано управление Panorama, все още нямат обявени крайни срокове за поправка. Информационният технологичен център на Китайския университет в Хонконг съобщи за въвеждането на аварийни филтри за засичане на атаки, но предупреди, че временните защитни правила не могат да заменят постоянните софтуерни пачове.
Проверихме отново
Към момента няма нови развития.
Проверихме отново
Към момента няма нови развития.
Докъде стигна историята
За двата основни софтуерни дефекта в PHP вече съществуват официални поправки, но внедряването им в корпоративните мрежи остава неравномерно. Докато CloudLinux вече достави напълно съгласуваните си обновления, Palo Alto Networks продължава да поддържа списък с незащитени системи, чиито първи пачове се очакват между 26 и 30 октомври. За друго оборудване, включително платформите Panorama и WildFire, все още няма потвърдени дати за поправка.
Palo Alto Networks заявява, че няма данни за успешни пробиви срещу нейно оборудване, макар липсата на доказателства да не е гаранция за пълна сигурност. В световен мащаб липсва проверена статистика за броя на засегнатите или успешно защитените корпоративни системи. За администраторите следващият непосредствен тест остава пълното изолиране на административните портали от интернет и последователното инсталиране на поправките веднага щом производителите ги предоставят.
PHP2Shell: кризата със сигурността на PHP
Спешната поправка за сигурност на PHP предизвика недоказани опасения за пробив
21 октомври 2026 г.Публикации в интернет твърдяха, че новата актуализация за програмния език, задвижващ милиони уебсайтове, е неефективна, но техническите проверки не откриха компрометиран защитен код.
Спешни корекции в PHP след изтичане на експлойти и ранни атаки срещу уеб сървъри
21 октомври 2026 г.Милиони сървъри са изложени на риск от отдалечен контрол, след като критични уязвимости изтекоха публично преди официалните поправки.