Две уязвимости в PHP, известные под общим названием PHP2Shell, позволяют выполнить произвольный код на сервере. PHP - язык для веб-приложений, и ошибки в его интерпретаторе (программе, исполняющей код на этом языке) затрагивают все продукты, где он используется. Juniper Networks подтвердил, что Junos OS уязвима к одной из двух ошибок, и переводит продукт на исправленный выпуск PHP. Остальные продукты вендор либо исключил, либо ещё проверяет.
Выполнение кода в PHP и проверка продуктов Juniper
Статус Juniper определяет для каждого продукта отдельно, и итоги проверки различаются. В уведомлении JSA112681 Junos OS прямо названа уязвимой к CVE-2026-109618 (идентификатор в общей базе уязвимостей). Про вторую ошибку, CVE-2026-109619, в строке Junos OS не сказано ничего, и её статус для этого продукта пока неясен. Исправление отслеживается по внутренним номерам ошибок, опубликованным на сайте поддержки.
Не уязвимыми Juniper назвал Junos OS Evolved, Session Smart Router, Junos Space и Apstra. Продукты линейки Mist, включая облачные сервисы, точки доступа и Mist Edge, вендор также исключил из списка. Остальные продукты остаются на проверке, поэтому их перечень ещё будет меняться.
Есть расхождение с более ранним перечнем затронутых систем, где упоминались Junos OS Evolved и Junos Space. В уведомлении JSA112681 оба продукта отмечены как не уязвимые, а обновление от 26 октября 2026 года добавляет к исключённым Apstra. Приоритет здесь у данных вендора. Paragon Automation и Policy Enforcer в таблице не названы, значит, они попадают в число продуктов на проверке.
Потенциально затронутыми вендор считает SRX Series, EX Series и MX Series. Для SRX начиная с выпуска 25.2R1 PHP не используется; на более ранних версиях предлагают обновление до 25.2R1 либо ограничение доступа. На EX дополнительно советуют отключить Captive Portal Auth (аутентификация на странице гостевого доступа), на MX - только J-Web.
Механика ошибок в PHP
Обе ошибки связаны с памятью, которая остаётся в некорректном состоянии между запросами. При исчерпании памяти PHP аварийно прерывает обработку запроса, и часть внутренних данных остаётся неинициализированной. Последующая очистка читает эти данные как корректные. Разработчики PHP отмечают, что вызвать такое состояние можно несколькими способами и получить удалённое выполнение кода. Вторая ошибка оставляет внутреннее состояние запроса после освобождения памяти, и следующий запрос в том же рабочем процессе (обработчике запросов) использует устаревшие данные до полной инициализации.
Атака идёт по сети, учётные данные не нужны, участие пользователя не требуется. Сложность источники описывают по-разному: в записях PHP Group она высокая, в уведомлении Juniper - низкая. Juniper ставит обеим ошибкам 9.8 из 10 по версии CVSS 3.1, это критический уровень; CVSS - шкала оценки серьёзности уязвимостей.
Записи PHP Group опубликованы 21 октября 2026 года и дают каждой ошибке 9.2 из 10 по версии 4.0. Ошибки затрагивают ветки PHP 8.2, 8.3, 8.4 и 8.5 до версий 8.2.35, 8.3.36, 8.4.27 и 8.5.12.
Исправления и ограничения
В самом PHP исправления уже есть, продукты Juniper ещё обновляются. Вендор пишет, что выпуски будут обновлены и выложены на сайте Customer Support Downloads. Номер выпуска Junos OS с исправлением в уведомлении не назван, искать его нужно там же. Для Junos OS названа цель - PHP 8.5.12.
Пока обновления нет, вендор предлагает отключать веб-доступ или ограничивать его доверенными хостами и администраторами. Для Junos OS это отключение J-Web (веб-интерфейс управления), JSC и fwAuth. Других обходных мер вендор не приводит.
Случаев эксплуатации в реальных атаках нет: Juniper SIRT (служба реагирования на инциденты) не располагает сведениями о вредоносном использовании ошибок. Ошибки обнаружил сторонний поставщик вышестоящего компонента. Публикация записей и уведомления означает раскрытие технических деталей, а не начало атак.
Для администраторов Junos OS важнее другое: исправленного выпуска пока нет. Снизить риск на этот период можно отключением веб-управления или ограничением доступа к нему.
Ссылки
- https://supportportal.juniper.net/s/article/2026-10-Reference-Advisory-Status-of-PHP2Shell-vulnerabilities-on-Juniper-Products-CVE-2026-109618-CVE-2026-109619
- https://www.cve.org/CVERecord?id=CVE-2026-109618
- https://www.cve.org/CVERecord?id=CVE-2026-109619
