# PHP2Shell: viskas apie kritinį PHP pažeidžiamumą

> PHP2Shell aiškiai paaiškintas: CVE-2026-109618 ir CVE-2026-109619, paveiktos versijos, patikra, paleidimas iš naujo ir pereinamosios priemonės.

Šaltinis: https://phpsos.de/lt/php2shell/  
Būsena: 2026-10-25  
Teikėjas: PHP SOS, PHP avarinė pagalba ir serverio sauga. Skubi pagalba per „WhatsApp“: https://wa.me/491736494914?text=Sveiki%2C%20PHP%20SOS%2C%20mums%20reikia%20pagalbos%20su%20m%C5%ABs%C5%B3%20PHP%20serveriu.%20%C4%AEmon%C4%97%3A%20%E2%80%A6%20Svetain%C4%97%3A%20%E2%80%A6

Du kritiniai pažeidžiamumai pačiame PHP, CVSS 9,2, kenkėjiškas kodas be prisijungimo. Čia rasite, kas įrodyta, kurios versijos saugios ir ką dabar daryti.

- [Kas yra PHP2Shell? Spraga paprastai paaiškinta](https://phpsos.de/lt/php2shell/was-ist-php2shell/): PHP2Shell yra dvi kritinės pačiame PHP esančios spragos, per kurias užpuolikai be prisijungimo gali vykdyti kodą žiniatinklio serveriuose. Čia padėtis aiškiais žodžiais.
- [CVE-2026-109618: RCE dėl atminties pritrūkimo būsenos](https://phpsos.de/lt/php2shell/cve-2026-109618/): CVE-2026-109618 yra viena iš dviejų PHP2Shell spragų: atminties pritrūkimo (Out-of-Memory) būsena gali nutraukti PHP užklausos apdorojimo viduryje. Ištaisyta nuo PHP 8.5.12, 8.4.27, 8.3.36 ir 8.2.35.
- [CVE-2026-109619: RCE dėl pasenusios visuotinės būsenos](https://phpsos.de/lt/php2shell/cve-2026-109619/): CVE-2026-109619 yra antroji PHP2Shell spraga: vidinė užklausos būsena gali išlikti atlaisvinus atmintį ir būti panaudota kitos užklausos tame pačiame darbiniame procese (worker).
- [CVE-2026-115560: pastaba dėl sesijos įkėlimo eigos](https://phpsos.de/lt/php2shell/cve-2026-115560/): CVE-2026-115560 yra php.net pastaba iš 2026-10-23: galimas kodo vykdymas tik esant neįprastai sesijos konfigūracijai. Priemonė iki kito leidimo: session.upload_progress.enabled=0.
- [Kurios PHP versijos paveiktos?](https://phpsos.de/lt/php2shell/betroffene-php-versionen/): PHP2Shell ištaisyta PHP 8.5.12, 8.4.27, 8.3.36 ir 8.2.35 versijose. PHP 8.1 ir senesnėms oficialių atnaujinimų nebėra. Lentelė rodo būklę pagal šaką.
- [Kaip teisingai patikrinti PHP versiją ir pataisų būseną](https://phpsos.de/lt/php2shell/php-version-pruefen/): Vien rodoma PHP versija nepasako, ar PHP2Shell uždaryta. Lemia paketų būsena, atgaliniai perkėlimai ir tai, ar nauji procesai tikrai veikia.
- [Kodėl mod_php kelia didžiausią riziką](https://phpsos.de/lt/php2shell/mod-php-risiko/): Esant Apache su mod_php PHP komanda PHP2Shell keliamą riziką vertina didžiausią: ten išnaudojimas parodytas dar prieš pradedant vykdyti programos kodą. Kaip patikrinti ir ką daryti.
- [Po atnaujinimo: PHP-FPM ir visų darbinių procesų paleidimas iš naujo](https://phpsos.de/lt/php2shell/php-fpm-neustart/): PHP atnaujinimas veikia tik paleidus iš naujo visus PHP procesus. Čia komandos PHP-FPM, Apache, LiteSpeed ir konteineriams bei kaip patikrinti paleidimą iš naujo.
- [Skubios priemonės, kai dar negalite pataisyti](https://phpsos.de/lt/php2shell/sofortmassnahmen-ohne-patch/): Kai PHP atnaujinimas dar neįmanomas, php.net pereinamosios priemonės riziką sumažina, bet visiškai neapsaugo. Kaip jas nustatyti teisingai.
- [PHP 8.1 ir senesnės: kas dabar galioja](https://phpsos.de/lt/php2shell/php-8-1-und-aelter/): PHP 8.1, 8.0, 7.4 ir senesnėms versijoms nuo PHP2Shell oficialių atnaujinimų nėra. Ką suteikia šaltinio atgaliniai perkėlimai ir koks kelias iki palaikomos versijos.
- [PHP pataisymas Docker konteineriuose](https://phpsos.de/lt/php2shell/docker-container-patchen/): Konteineriai patys nesipataiso. Nuo PHP2Shell turite perkurti arba iš naujo atsisiųsti PHP atvaizdą ir kiekvieną konteinerį sukurti iš naujo atvaizdo.
- [Ar jau esu kompromituotas? Požymiai po PHP2Shell](https://phpsos.de/lt/php2shell/bin-ich-gehackt-anzeichen/): PHP2Shell patvirtintų kompromitavimo rodiklių (Indicators of Compromise) nėra. Iš ko vis dėlto suprasti, ar serveris nulaužtas, ir kaip tikrinti nesunaikinant pėdsakų.