Безопасность
Уязвимости PHP пытались эксплуатировать за несколько дней до выхода патча
По данным Amazon Threat Intelligence, попытка эксплуатации критических уязвимостей PHP была зафиксирована 17 октября — до выхода исправления.
В среду сайты спешно ставили патч для двух критических уязвимостей PHP — CVE-2026-109618 и CVE-2026-109619, которые позволяют удалённо выполнять код. Amazon заметила попытку использовать PHP2Shell на ханипоте 17 октября, а ещё несколько попыток — 21 октября, за часы до релиза. Как злоумышленник узнал детали до раскрытия, неясно.
Исполнительный директор PHP Foundation Элизабет Баррон сообщила The Verge, что успешных попыток удалённого выполнения кода ей неизвестно, но обновление необходимо. Проблему фонд описал ещё в 2024 году, однако исправление откладывали из-за нарушения обратной совместимости, риска DoS и необходимости менять множество сторонних расширений. Перед релизом детали стали появляться на форумах и в соцсетях.
Фонд заявил, что меняет процессы, чтобы руководство раньше подключалось к сложным уязвимостям.
- Первая попытка — 17 октября
- Уязвимости: CVE-2026-109618 и CVE-2026-109619
Источники
- The Verge: The disastrous PHP vulnerabilities were exploited days before the patch · 22 октября 2026, 19:49
Текст подготовлен автоматически по материалам источников и может содержать неточности.