Безопасность 21 октября 2026, 14:02 МСК

PHP Foundation выпустил экстренные патчи для двух критических уязвимостей

PHP Foundation в среду выпустил обновления, закрывающие две критические уязвимости (CVSS 9.2), которые позволяют удалённо выполнять код на серверах.

Уязвимости CVE-2026-109618 и CVE-2026-109619 затрагивают все установки PHP, обрабатывающие веб-запросы, начиная с версии 5 (2004 год). Патчи получат только поддерживаемые версии PHP 8.2 и новее; некоторые дистрибутивы и сторонние вендоры выпускают исправления для старых версий. По словам PHP Foundation, полных способов смягчения нет — безопасно только обновление.

По данным Wiz, неавторизованный атакующий может выполнить код на сервере или прочитать память процесса, где могут быть пароли, токены и ключи API. Wiz заявила, что нашла проблемы отчасти с помощью ИИ-инструментов; OpenAI и Calif сообщили о независимом обнаружении и совместной работе. Эксперт Davi Ottenheimer описал уязвимость как находящуюся в интерфейсе загрузки файлов.

Cloudflare сообщила о ранних атаках ещё до публикации деталей, а Sansec ожидала массовых атак в течение 15 минут после релиза. По данным Wordfence, под угрозой все сайты на WordPress, а исправление нельзя поставить автоматическим обновлением. CERT-EU и британский NCSC советовали изолировать или отключить приложения, которые нельзя быстро обновить. По сообщениям, часть сайтов правительств Финляндии и Франции и сайт порта Роттердама были недоступны; GrapheneOS отключила свой форум.

• Оценка CVSS: 9.2 из 10 для обеих уязвимостей
• Патчи — только для PHP 8.2 и новее
• Wordfence: автообновление не поможет, патч ставится вручную