БЕЗОПАСНОСТЬ

PHP2Shell в digital signage: какие плееры под угрозой

PHP2Shell (CVE-2026-109618 и CVE-2026-109619): какие плееры и CMS для digital signage затронуты, что с DSOS 5.0.0 и что спросить у поставщика.

PHP2Shell — название двух критических уязвимостей в самом языке PHP, о которых разработчики PHP объявили 21 октября 2026 года. Они могут позволить неавторизованному злоумышленнику выполнить свой код на сервере. Для digital signage вопрос прикладной: PHP есть не в каждом плеере и не в каждой CMS, поэтому проверять нужно конкретный продукт, а не отрасль целиком.

Ниже — что известно об уязвимости, как и когда отреагировал SpinetiX, что это значит для плееров, которые поставляют партнеры DSTOOLS, где PHP вообще не используется и какие вопросы задать поставщику.

2 уязвимости: CVE-2026-109618 и CVE-2026-109619

9,2 из 10 — оценка CVSS 4.0 у обеих

DSOS 4.0.0–4.10.0 затронуты, 5.0.0 содержит исправление

около 28 часов от объявления PHP до готовой прошивки SpinetiX

Что такое PHP2Shell

Это две ошибки работы с памятью в интерпретаторе PHP. CVE-2026-109618 связана с обработкой нехватки памяти: при определенных условиях это приводит к выполнению постороннего кода. CVE-2026-109619 — обращение к уже освобожденной памяти. Обе получили оценку 9,2 из 10 по CVSS 4.0 (в базе NVD для обеих есть и оценка 9,8 по CVSS 3.1), обе допускают удаленное выполнение кода без входа в систему.

Исправления вышли в PHP 8.5.12, 8.4.27, 8.3.36 и 8.2.35. Для веток 7.4, 8.0 и 8.1 официальных релизов нет: разработчики PHP подготовили лишь минимальные исходные «бэкпорты», которые поставщик ПО должен собрать сам. Под угрозой любая установка PHP, обрабатывающая веб-запросы; опаснее всего связка Apache и mod_php.

Как отреагировал SpinetiX: хронология

UTC	Москва	Что произошло
21 октября, 13:34	21 октября, 16:34	Опубликованы уведомления PHP о двух уязвимостях
22 октября, 07:55	22 октября, 10:55	SpinetiX публикует страницу с разбором: какие продукты затронуты, какие нет, что делать (примерно через 18 часов)
22 октября, 17:15	22 октября, 20:15	Выходит DSOS 5.0.0 с исправлением обеих уязвимостей (примерно через 28 часов, на следующие сутки)

DSOS 5.0.0 — плановый крупный релиз, в который попало и это исправление: в нем также есть другие изменения, поэтому называть его экстренным патчем неверно. Предыдущая версия, DSOS 4.10.0, вышла 7 сентября 2026 года.

Что затронуто, по данным SpinetiX (источник — страница SpinetiX о PHP2Shell):

DSOS 4.0.0–4.10.0 — затронуты. PHP в них используют Control Center, RPC и DiVA CMS.
DSOS 5.0.0 и новее — исправление включено.
Elementi и облако SpinetiX — не затронуты: PHP в них не используется.
Старые прошивки HMP 1.0.4880–3.4.8 — по заявлению SpinetiX, предположительно не затронуты (в них PHP 5.3 или старше), но поддержка этих версий закончилась в январе 2020 года или раньше, и в них есть другие известные уязвимости.

Рекомендация SpinetiX на время до обновления: не открывать плееры с DSOS напрямую в интернет и оставлять доступ только из доверенных сетей. Если плеер доступен из интернета, доступ нужно закрыть сразу, не дожидаясь обновления. Это совпадает с давним советом из FAQ поддержки: входящие соединения из интернета плееру не нужны.

PHP 8.1 в DSOS 5.0.0

Второе, что стоит учесть: переход с 4.10.0 на 5.0.0 — смена основной версии. Перед массовым обновлением парка прочитайте заметки к релизу и сначала обновите пилотную группу плееров.

Что это значит для плееров, которые поставляют партнеры DSTOOLS

В России поставляются два плеера: iQnetiX EMP-III и iBX440. Оба работают на DSOS, поэтому вопрос один: какая версия установлена.

iBX440. В заметках к DSOS 5.0.0 перечислен поименно: релиз относится к HMP400/W, iBX410/W, iBX440, HMP350, HMP300, DiVA и сторонним плеерам на DSOS.

EMP-III. Плеер iQnetiX работает на DSOS и относится к «сторонним плеерам на DSOS», для которых заявлена прошивка 5.0.0. По имени модель в заметках к релизу не названа, поэтому для каждого проекта мы советуем подтвердить обновление на самом плеере: версия видна в Control Center.

Что делать: открыть Control Center, посмотреть версию DSOS. Версия 4.x — обновить до 5.0.0 и новее (обновления DSOS бесплатны, порядок описан в FAQ поддержки), а до этого держать плеер в закрытой сети. Версия 5.0.0 и выше — действий не требуется.

А как же 123CMS

Серверная часть 123CMS написана на Python (FastAPI) с базами PostgreSQL и Redis, веб-серверы — Caddy и nginx (раздача файлов плеерам). PHP в ней не используется, поэтому к самой CMS PHP2Shell не относится. Но CMS управляет плеерами, а плеер — это DSOS: его прошивку нужно обновлять отдельно, по тому же правилу.

PHP в других продуктах digital signage: сравнение по открытым данным

Таблица собрана по открытым источникам на 24 октября 2026 года: исходные тексты, документация, заметки к релизам. Названия производителей мы не приводим сознательно. Отсутствие публичного заявления о PHP2Shell ничего не доказывает ни в ту, ни в другую сторону, а строка «не найден» означает только «не найден».

Кто	Что видно из открытых данных	Затронут ли PHP2Shell
Один американский бренд плееров	В образе операционной системы плеера PHP нет	Нет: PHP в ОС нет
Одна британская open-source CMS	В актуальной ветке требует PHP 8.4 и работает через Apache с mod_php; выпустила релиз с исправлением примерно через 2,5 часа после публикации уведомлений — быстрее SpinetiX	Да, это PHP-приложение; исправление выпущено
CMS одного корейского производителя дисплеев	Серверная часть на Java	Нет: PHP не используется
Одна греческая облачная CMS	Серверная часть на Python	Нет: PHP не используется
Open-source плееры на Node, Python и Ruby	Стек из репозиториев проектов	Нет: PHP не используется
Один швейцарский разработчик ПО	PHP в открытой документации не найден	Неизвестно: стоит спросить напрямую

PHP2Shell задевает только тех, у кого PHP стоит внутри продукта. Для них важно, как быстро поставщик сообщил об этом клиентам и выпустил исправление. Быстрее всех в нашей выборке справилась открытая CMS, у SpinetiX — следующие сутки.

Что спросить у поставщика

Используется ли PHP в плеере и в CMS, в какой версии и в каком режиме работы (mod_php, PHP-FPM)?
Затронут ли продукт PHP2Shell (CVE-2026-109618 и CVE-2026-109619)? Просите ответ письменно, с номерами CVE.
В какой сборке или версии прошивки исправление и когда она вышла?
Если ветка PHP снята с поддержки разработчиками, кто и как переносит в нее исправления?
Платное ли обновление, ставится ли оно без интернета, нужна ли остановка показа?
Что делать до обновления: какие порты закрыть, кого пускать в сеть?
Как поставщик объявлял о прошлых уязвимостях: есть ли публичные бюллетени и как быстро выходят исправления?

Источники

Что такое PHP2Shell и чем он опасен для digital signage?

Это две критические уязвимости в PHP (CVE-2026-109618 и CVE-2026-109619), которые могут позволить неавторизованному злоумышленнику выполнить свой код на сервере. Для digital signage опасность есть там, где PHP стоит внутри плеера или CMS и принимает веб-запросы. Если PHP в продукте нет, уязвимость его не касается. PHP2Shell — уязвимость языка, а не конкретной отрасли, поэтому общего ответа «все плееры под угрозой» или «ничего не угрожает» быть не может, нужен ответ по каждому продукту.

Затронуты ли плееры SpinetiX уязвимостью PHP2Shell?

Да, если на них DSOS версий с 4.0.0 по 4.10.0. PHP в DSOS используют Control Center, RPC и DiVA CMS. Исправление входит в DSOS 5.0.0, который вышел 22 октября 2026 года в 20:15 по Москве. Elementi и облако SpinetiX PHP не используют и не затронуты. Старые прошивки HMP 1.0.4880–3.4.8 по заявлению SpinetiX предположительно не затронуты, но поддержка этих версий закончилась в январе 2020 года или раньше. До обновления не открывайте плееры в интернет.

Затронуты ли EMP-III и iBX440 и что с ними делать?

Затронуты версии DSOS 4.x, на 5.0.0 и новее исправление есть. iBX440 назван в заметках к DSOS 5.0.0 поименно. EMP-III работает на DSOS и входит в «сторонние плееры на DSOS», для которых заявлена эта прошивка, но по имени в заметках не указан, поэтому подтвердите версию на самом плеере. Откройте Control Center, посмотрите версию DSOS и при версии 4.x обновите прошивку: обновления бесплатны. До обновления плеер должен быть доступен только из доверенной сети.

Затронута ли 123CMS уязвимостью PHP2Shell?

Нет, сама CMS не затронута: серверная часть 123CMS написана на Python и не использует PHP. Плееры, которыми управляет 123CMS, при этом работают на DSOS, и их прошивку нужно обновлять отдельно: на версиях 4.0.0–4.10.0 уязвимость есть, в 5.0.0 она исправлена.

Эксплуатируется ли PHP2Shell в реальных атаках?

Подтвержденных успешных атак нет, попытки зафиксированы. Amazon сообщала о попытке эксплуатации за четыре дня до публикации, но CISA на 23 октября 2026 года не наблюдала успешной эксплуатации, и ни одной из двух CVE нет в каталоге CISA KEV. Картина может измениться, поэтому обновление не стоит откладывать: для плееров на DSOS 4.x это обновление до 5.0.0, а до него — закрытая сеть.

Как обновить DSOS до 5.0.0 и что делать до обновления?

Откройте Control Center, раздел Operations, затем Firmware Update и нажмите Check Now: прошивки бесплатны, обновление занимает 5–30 минут, контент и настройки сохраняются. 5.0.0 — смена основной версии, поэтому сначала обновите несколько плееров и прочитайте заметки к релизу, и только потом весь парк. До обновления ограничьте доступ к плеерам доверенными сетями и уберите проброс портов из интернета. Подробности — в FAQ поддержки.

Почему в DSOS 5.0.0 PHP 8.1, если эта ветка снята с поддержки?

Потому что SpinetiX сопровождает собственную сборку: версия PHP остается 8.1.34, а исправления обеих уязвимостей перенесены в нее вручную (бэкпорт). Ветку PHP 8.1 разработчики PHP закрыли 31 декабря 2025 года, и для ее безопасности действительно нужен тот, кто переносит исправления. Безопасность такой сборки держится на регулярных обновлениях DSOS, и сканер уязвимостей по одному номеру версии PHP их состояние не покажет.

Как проверить, использует ли PHP моя CMS или мой плеер для digital signage?

Спросите поставщика письменно: используется ли PHP, в какой версии и в каком режиме, затронут ли продукт CVE-2026-109618 и CVE-2026-109619, в какой сборке исправление. Отсутствие публичного заявления ничего не доказывает: многие продукты PHP не используют вовсе, а часть поставщиков просто молчит. Короткий список вопросов — в разделе «Что спросить у поставщика» выше.