PHP отримав захист від RCE-вразливостей PHP2Shell на Windows та macOS

Для платформи PHP випустили виправлення безпеки, що усувають дві критичні вразливості — CVE-2026-109618 та CVE-2026-109619. Разом вони відстежуються під назвою PHP2Shell і дозволяють неавтентифіковане віддалене виконання коду (RCE) на відкритих PHP-серверах.

Складнощі оновлення на Windows та macOS

Якщо в дистрибутивах Linux виправлення постачаються стандартними системними пакетами, то на Windows та macOS класичне керування патчами не працює. Ані Microsoft, ані Apple не постачають PHP у складі своїх ОС:

• Windows: офіційного інсталятора немає. Офіційні збірки на downloads.php.net публікуються у вигляді звичайних ZIP-архівів із різними характеристиками (Thread Safe / Non-Thread Safe, x64 / x86, різні компілятори Visual Studio). Оновлення вимагає ручного підбору бінарника, зупинки вебсерверів (IIS чи Apache), заміни файлів зі збереженням php.ini й додаткових розширень, а також перезапуску служб. Ситуацію ускладнює різне розташування у сторонніх збірках на кшталт XAMPP, WampServer, Laragon, Chocolatey чи Scoop.
• macOS: Apple видалила PHP з операційної системи починаючи з версії Monterey (12.0). Системні оновлення його не зачіпають, а на сучасних Mac середовище найчастіше інсталюється через Homebrew.

Через відсутність вендорного патча сервери залишаються вразливими доти, доки бінарні файли не будуть оновлені на місці.

Автоматизація через Qualys CAR

Для розв'язання проблеми Qualys опублікувала спеціальні скрипти в бібліотеці Custom Assessment and Remediation (CAR) платформи TruRisk Eliminate. Вони автоматизують оновлення як через локальний Cloud Agent, так і в без’агентному режимі за допомогою автентифікованого сканера Qualys через облікові дані Windows або SSH.

Скрипти дотримуються кількох правил безпеки:

• Оновлення суворо в межах поточної мінорної гілки: версії не переходять на нові мажорні гілки (наприклад, 8.2.33 оновлюється лише до найсвіжішої 8.2.x, а 8.4.27 — до 8.4.x), що запобігає збоям у роботі застосунків.
• Робота з End-of-Life: якщо знайдено застарілу версію, підтримка якої припинена, оновлення зупиняється. У таких випадках пропонується окремий скрипт мітигації, що блокує вектор атаки зміною конфігурацій.

Особливості для кожної платформи

На Windows скрипт шукає всі інсталяції в системі (шляхи PATH, C:\php*, XAMPP, Laragon, налаштування FastCGI в IIS тощо). Далі визначаються точні параметри збірки через виклик php.exe, завантажується офіційний архів і звіряється хеш SHA256. Перед заміною файлів процес робить повний бекап директорії й зупиняє IIS або Apache. Якщо фінальна перевірка нової версії зазнає невдачі, скрипт виконує автоматичний відкат.

На macOS скрипт визначає відповідну формулу Homebrew (php чи версіоновану php@8.x), запускає brew від імені його власника (оскільки Homebrew блокує роботу від root), фіксує конфлікти прав доступу, підтягує актуальний реліз мінорної гілки та перезапускає службу php-fpm.