Documentolog закрыл уязвимости PHP2Shell на всех 495 системах за 13 часов

21 октября 2026 года разработчики PHP опубликовали исправления двух критических уязвимостей PHP2Shell. К 8:00 следующего утра все 495 систем Documentolog уже работали на исправленных версиях. Клиентам облачной платформы ничего делать не нужно.

Что за уязвимости

CVE-2026-109618 и CVE-2026-109619 — критические уязвимости с оценкой 9,2 по шкале CVSS v4.0. Они позволяют злоумышленнику без логина и пароля выполнить произвольный код на сервере, где работает PHP. Исправления вошли в версии PHP 8.2.35, 8.3.36, 8.4.27 и 8.5.12. Для PHP 8.1 и более старых версий исправлений не будет, а накануне публикации в интернете, по оценке Picus Security, было около 884 тысяч серверов с такими версиями.

Как мы действовали

Сообщения о проблеме в PHP появились в открытых источниках ещё до официального бюллетеня. Команда информационной безопасности Documentolog их заметила и заранее подготовила обновление. Когда 21 октября в 18:34 по времени Астаны разработчики PHP опубликовали исправления, мы сразу начали обновлять системы. К 08:00 22 октября все 495 систем работали на исправленных версиях — от публикации бюллетеня до последнего обновления прошло 13 часов 26 минут. Мы продолжаем следить за попытками использовать эти уязвимости.

Что это значит для вас

Ваши документы и данные работают на платформе, где критические уязвимости закрываются в первые часы после публикации. Вашей ИТ-службе не нужно отслеживать бюллетени PHP, оценивать риск и планировать обновление — это уже сделано.

Если Documentolog установлен на серверах вашей организации и PHP на них обновляет ваша ИТ-служба, сверьте версию PHP с бюллетенем или напишите нам — поможем проверить.

Официальный бюллетень PHP: GHSA-6wmf-4rv5-p3rp.