PHP выпускает экстренные исправления для двух критических уязвимостей удалённого выполнения кода

Команда разработчиков PHP 21 октября выпустила экстренные обновления безопасности для устранения двух уязвимостей, CVE-2026-109618 и CVE-2026-109619. Команда объявила о выпуске на 14:00 UTC, или 22:00 по пекинскому времени, а cnBeta сообщила в 22:36, что обновление вышло. Huxiu сообщило, что исправленными версиями являются PHP 8.5.12, 8.4.27, 8.3.36 и 8.2.35. [ 3 , 8 , 12 ]

IT Home сообщило, что команда PHP объявила план 20 октября и что обе уязвимости имеют оценку 9,2 по CVSS v4.0. Компания безопасности watchTowr подтвердила, что это уязвимости удалённого выполнения кода нулевого дня. Выпуск первоначально планировался на 22 октября, а команда заявила, что он может произойти и раньше, если подробности станут публичными или появится эксплуатация. 20 октября в Hacker News появилась публикация о том, что две уязвимости, затрагивающие PHP 5 и новее, вот-вот будут раскрыты, после чего скриншоты распространились в X и Mastodon. Собственное заявление PHP, переданное CLS, говорит, что номера CVE начали циркулировать на онлайн-форумах и в социальных сетях примерно в 15:00 UTC в тот день. [ 3 , 4 , 9 , 12 ]

Центр безопасности Tencent Cloud в предупреждении, переданном CLS и Jiemian, назвал уязвимости «php2shell». Сообщается, что неаутентифицированный удалённый злоумышленник может отправить специально сформированный многочастный POST-запрос, чтобы вызвать повреждение памяти и удалённое выполнение кода, потенциально получив полный контроль над сервером. Клиентам рекомендовано проверить свои системы и обновиться. [ 10 , 11 ]

Зарубежные ведомства призвали готовиться. По данным IT Home со ссылкой на Reuters, CERT-EU указала, что оценка 9,2 означает риск удалённого выполнения кода без входа в систему, и что организациям, не способным вовремя установить исправление, стоит рассмотреть временное отключение затронутых сайтов. Австралийский центр кибербезопасности дал похожую рекомендацию и сообщил, что эксплуатации не наблюдал. GoDaddy предупредила о краже данных и подмене сайтов. Затем Valtori отключил государственные сайты Финляндии, включая сайты Национального картографического управления, Хельсинкской книжной ярмарки и Финского фонда кино, без указания даты восстановления. Huxiu добавило, что Нидерланды, Франция, Германия и Япония предприняли похожие шаги. [ 5 , 7 , 12 ]

Landian и cnBeta сообщили, что по данным наблюдений около 59,4% из 1,5 млн открытых серверов PHP работают на старых версиях, которые невозможно обновить, и что PHP 5.6 и 7.x не получат исправлений. Huxiu сообщило, что для PHP 8.1 и более ранних версий выходит только патч исходного кода, который пользователь должен скомпилировать сам. Издание указало, что уязвимость восходит к PHP 5.4.0 от 2012 года, и что, по мнению специалиста по криминалистике Хала Поммерана, многие неподдерживаемые сайты, возможно, так и не будут обновлены. [ 1 , 2 , 12 ]

Huxiu сообщило, что компании безопасности Calif и Wiz независимо нашли уязвимости с помощью инструментов ИИ, а Cloudflare зафиксировала первые атаки в 07:43 GMT 21 октября, за несколько часов до исправления. IT Home сообщало, что публичных доказательств масштабной эксплуатации не было. Huxiu сообщило, что Cloudflare установила правила блокировки для всех клиентов, что, по определению технического директора Дейна Кнехта, является временной мерой, а акции Cloudflare в какой-то момент выросли более чем на 8%. [ 3 , 5 , 12 ]