Две уязвимости в PHP позволяют удалённо выполнить свой код на сервере, где работает этот язык программирования. Фонд PHP (PHP Foundation) раскрыл их 21 октября 2026 года, и в тот же день Cisco выпустила уведомление о влиянии этих проблем на свои продукты. Подтверждённо уязвимых продуктов компания пока не называет: она выясняет, какие её продукты и облачные сервисы используют PHP и могут быть затронуты. В список под проверкой попали сетевые устройства, средства управления сетью, платформы для голосовой связи, средства наблюдаемости приложений и облачные сервисы.
Две уязвимости PHP, PHP2shell и статус проверки
Уведомление Cisco имеет статус Interim, то есть промежуточный: списки продуктов в нём будут меняться, и считать их окончательными нельзя. Номер версии уведомления 1.1 - это версия документа, а не версия исправления. В разделе уязвимых продуктов Cisco пишет, что подтверждённо уязвимых продуктов нет. Короче выглядит список подтверждённо не уязвимых продуктов: в него вошли Cisco AI Defense в гибридном развёртывании на своих серверах, Cisco Cloud Hosted Services и Cisco Umbrella. При этом Cisco Umbrella одновременно указана среди продуктов под проверкой - это расхождение в уведомлении, и до следующего обновления её статус остаётся неясным.
Список под проверкой насчитывает около тридцати продуктов и сервисов, среди них Cisco Identity Services Engine, Cisco Catalyst SD-WAN Manager, Cisco Expressway Series, AppDynamics PHP Agent, Webex и Cisco Hypershield. Продукт, который не указан ни в одном из трёх списков, Cisco по предварительным данным считает не затронутым. Это предварительный вывод, а не подтверждённая безопасность.
Обе уязвимости ведут к удалённому выполнению кода, то есть к запуску чужого кода на сервере без доступа к самой машине. Первая связана с повреждением памяти при её исчерпании: когда серверу не хватает памяти, внутренние структуры искажаются, и это открывает путь к выполнению кода. Вторая опирается на устаревшее глобальное состояние: PHP обрабатывает запросы в одном процессе, поэтому данные, оставшиеся от предыдущего запроса, могут быть использованы повторно. Обе проблемы Фонд PHP описывает в двух бюллетенях GitHub Security Advisory, а исследователи объединили их под общим названием PHP2shell.
Идентификаторы уязвимостей - CVE-2026-109618 и CVE-2026-109619. Оценку CVSS (общая шкала серьёзности уязвимостей) Cisco не приводит. Условия атаки компания тоже не уточняет: идёт ли атака по сети, нужна ли аутентификация и участие пользователя, в уведомлении не сказано. Эти сведения есть в бюллетенях Фонда PHP, на которые Cisco ссылается как на источник.
Исправления для продуктов Cisco пока нет, потому что ни один продукт не подтверждён как уязвимый. Когда проверка продвинется, Cisco добавит в раздел уязвимых продуктов идентификаторы ошибок (bug ID) для каждого затронутого продукта или сервиса. По этим идентификаторам в Cisco Bug Search Tool появится информация для конкретной платформы: номера исправленных версий и обходные меры, если они найдутся. Номер исправленной версии PHP в уведомлении Cisco не назван - его нужно смотреть в бюллетенях Фонда PHP.
Публичное раскрытие деталей и эксплуатация в реальных атаках - разные вещи. Cisco знает о публичном анонсе: технические детали этих уязвимостей доступны. При этом группа реагирования на инциденты безопасности продуктов Cisco (PSIRT) не располагает сведениями о вредоносном использовании описанных уязвимостей. Подтверждённых случаев компрометации нет.
Обходных мер Cisco не предлагает и прямо указывает, что их нет. Остаются обновление и отслеживание уведомления. Сначала нужно выяснить, какие продукты из списка под проверкой используются в инфраструктуре, и проверить, есть ли в них PHP. Затем - обновить PHP до версии из бюллетеня Фонда PHP, когда её номер станет известен. Обновления продуктов Cisco появятся позже вместе с идентификаторами ошибок. Полагаться на попадание Cisco Umbrella в список не уязвимых продуктов нельзя: её статус до следующего обновления уведомления остаётся неясным.
Насколько широка проблема, станет ясно после завершения проверки. PHP работает в веб-приложениях и служебных интерфейсах, поэтому список подтверждённо уязвимых продуктов Cisco может вырасти. Пока таких продуктов нет, обходных мер нет, а уведомление остаётся промежуточным.
Ссылки
