PHP готовит экстренные патчи для двух критических уязвимостей
Разработчики PHP назначили внеплановый выпуск обновлений на 21 октября, 14:00 UTC. Две уязвимости получили оценку 9,2 из 10 по CVSS v4.0; независимые исследователи сообщают, что они позволяют удалённо выполнять код на сервере.
Команда PHP готовит внеплановый выпуск обновлений безопасности для двух критических уязвимостей с оценкой 9,2 балла по шкале CVSS v4.0. Релиз был назначен на 21 октября, 14:00 UTC; разработчики призвали администраторов заранее подготовиться к обновлению и установить его сразу после публикации.
В предварительном уведомлении PHP не раскрыла ни затронутые версии, ни технические детали проблем. Полная информация, включая список исправленных выпусков, должна появиться одновременно с патчами. Команда также оставила за собой право выпустить обновление досрочно, если сведения об уязвимостях станут публичными либо появятся признаки атак.
Компания watchTowr утверждает, что обе ошибки дают возможность удалённо выполнять код. Исследователи называют эту пару PHP2Shell и используют идентификаторы CVE-2026-109618 и CVE-2026-109619, однако PHP в своём уведомлении эти номера не указывала. Не подтверждено и распространяемое утверждение о том, что проблема затрагивает все версии начиная с PHP 5.
Исправления смогут получить только поддерживаемые ветки PHP 8.2–8.5. Ветки 8.2 и 8.3 получают только обновления безопасности, а 8.4 и 8.5 находятся в активной поддержке. Для PHP 8.1 и более старых версий патчей от проекта не будет, если уязвимости действительно окажутся применимы к этим выпускам.
Сведения об эксплуатации на момент публикаций расходятся. Huntress сообщала, что не видела эксплуатации в партнёрских средах и не знала о публичном коде эксплойта. В FAQ watchTowr указывалось, что эксплуатация не была зарегистрирована. Технический директор Cloudflare Дейн Кнехт заявил, что компания видит ранние атаки на свои PHP-сайты и временно обновляет правила межсетевого экрана до выхода обновления.
CERT-EU и Национальный центр кибербезопасности Великобритании рекомендуют организациям, которые не смогут немедленно установить патч, изолировать публично доступные PHP-приложения от интернета или временно отключить их. В первую очередь обновление советуют разворачивать на внешних системах, а владельцам устаревших веток — планировать переход на поддерживаемую версию либо ограничивать доступ к сервисам.