PHP выпустила исправления для двух критических уязвимостей удалённого выполнения кода с оценкой 9,2
Коротко
Проект разработки PHP 21 октября выпустил PHP 8.5.12, 8.4.27, 8.3.36 и 8.2.35, чтобы устранить две критические уязвимости, CVE-2026-109618 и CVE-2026-109619, каждая с оценкой 9,2 по CVSS v4.0. Команда PHP заявляет, что они могут привести к удалённому выполнению кода без аутентификации, и призывает всех пользователей немедленно обновиться. Несколько японских игровых и веб-сервисов объявили об экстренном обслуживании около времени выпуска.
Читать полностью 2 мин чтения
Проект разработки PHP выпустил PHP 8.5.12, 8.4.27, 8.3.36 и 8.2.35, чтобы устранить две критические уязвимости, по данным Gigazine и ITmedia. Mynavi News сообщает, что команда безопасности опубликовала выпуск 21 октября из-за уязвимостей CVE-2026-109618 и CVE-2026-109619, которые могут привести к удалённому выполнению кода без аутентификации. ITmedia сообщила, что на официальном сайте всем пользователям PHP настоятельно рекомендуется немедленно обновиться. [ 9 , 10 , 11 ]
По данным Mynavi News, команда PHP заявила, что под угрозой все среды PHP, обрабатывающие веб-запросы, включая PHP-FPM, Apache mod_php, php-cgi, FrankenPHP и LiteSpeed. Наибольший риск, по её словам, у mod_php, поскольку там продемонстрирован работающий эксплойт. CVE-2026-109618 связана с обработкой нехватки памяти, а CVE-2026-109619 — с состоянием, которое остаётся после запроса. Команда заявила, что полноценных мер защиты нет и что безопасным можно быть только при обновлении. Она также опубликовала минимальные исправления, перенесённые в PHP 7.4, 8.0 и 8.1, которые больше официально не поддерживаются. Перечисленные временные меры, по её словам, лишь снижают риск по отдельным путям атак, а поддержка PHP 8.2 заканчивается 31 декабря 2026 года. [ 10 ]
Команда безопасности объявила 20 октября, что обновление будет опубликовано 21 октября в 23:00 по японскому времени. Обе уязвимости имеют оценку 9,2 по CVSS v4.0, то есть относятся к критическому уровню. Команда сообщила, что подробности и затронутые версии будут раскрыты при выпуске и что она может опубликовать обновление раньше, если детали утекут или будет обнаружена эксплуатация. CERT-EU 20 октября выпустил предупреждение, в котором говорится, что под угрозой могут быть все версии начиная с PHP 5, и посоветовал организациям выявить приложения PHP и подготовиться к установке исправления. Если это невозможно, он предложил отключить доступные из интернета приложения от внешних сетей. [ 1 , 2 , 4 , 7 ]
Gigazine сообщила, что на платформе X опубликовано видео под названием php2shell, принадлежащее исследователю Кириллу Фирсову, с атаками, которые выполняли команды на тестовых стендах с WordPress, Drupal и Magento. Компания watchTowr заявила, что воспроизвела атаку на CVE-2026-109618, не раскрывает технических деталей и не подтвердила эксплуатацию в реальных условиях. ITmedia сообщила, что GMO Flatt Security предполагает ошибку повреждения памяти и, если уязвимость совпадает с исследованием этой компании, связанную с функцией Session Upload Progress. [ 3 , 4 , 5 ]
Game*Spark и INSIDE сообщили, что IPA, которое призывало операторов систем подготовиться к установке исправления, заявило, что не подтвердило атак, а его предупреждение носит превентивный характер. Объявлено обслуживание игр Cygames, включая Uma Musume и Granblue Fantasy, а также Shadowverse: Worlds Beyond, Dorufin Webu (ドルフィンウェーブ), CHUNITHM-NET и Hebun Banzu Reddo (ヘブンバーンズレッド). OBS Studio сообщила, что часть её сайта будет недоступна. Команда Shadowverse: Worlds Beyond заявила, что подтвердила отсутствие ущерба и утечки данных пользователей. [ 7 , 8 ]
Почему это важно
Японские технические издания отмечают, что PHP используется большим количеством сайтов и сервисов, поэтому уязвимость в самом PHP может затронуть многих из них. Команда PHP заявляет, что обновление — единственный способ защитить системы; ITmedia и Game*Spark сообщают, что компании и операторы сервисов готовились к обслуживанию или проводили его в связи с выпуском.
Ключевые факты
- Команда безопасности PHP 20 октября объявила, что 21 октября в 23:00 по японскому времени опубликует обновление безопасности для двух критических уязвимостей. [ 1 , 2 , 4 , 7 ]
- Обе уязвимости, CVE-2026-109618 и CVE-2026-109619, имеют оценку 9,2 (критический уровень) по CVSS v4.0. [ 2 , 4 , 7 , 10 ]
- Исправленные версии: PHP 8.5.12, 8.4.27, 8.3.36 и 8.2.35. [ 9 , 11 ]
- Команда PHP заявляет, что уязвимости могут привести к удалённому выполнению кода без аутентификации и что, кроме обновления, полноценных мер защиты не существует. [ 10 ]
- CERT-EU заявил, что под угрозой могут быть все версии PHP начиная с PHP 5. [ 2 , 4 ]
- Команда PHP также опубликовала минимальные исправления, перенесённые в PHP 7.4, 8.0 и 8.1, которые больше официально не поддерживаются. [ 10 ]
- Cygames, включая Uma Musume и Granblue Fantasy, и другие сервисы объявили об экстренном обслуживании около 23:00 21 октября. [ 7 , 8 ]
Подтверждено несколькими источниками
- Две критические уязвимости PHP с оценкой 9,2 по CVSS v4.0 были объявлены 20 октября, исправления запланированы на 23:00 по японскому времени 21 октября. [ 1 , 2 , 4 , 7 ]
- Проект PHP выпустил исправленные версии PHP 8.5.12, 8.4.27, 8.3.36 и 8.2.35. [ 9 , 11 ]
- Уязвимости: CVE-2026-109618 и CVE-2026-109619. [ 2 , 4 , 10 ]
- CERT-EU предупредил, что под угрозой могут быть все версии PHP начиная с PHP 5, и рекомендовал немедленно подготовиться к установке исправления. [ 2 , 4 ]
Пока неясно
- Какие версии PHP затронуты в целом. CERT-EU и некоторые исследователи говорят, что под угрозой может быть PHP 5 и новее, тогда как собственное заявление команды PHP, переданное Mynavi News, называет затронутые среды и предлагает перенесённые исправления для 7.4, 8.0 и 8.1.
- Используются ли уязвимости в реальных атаках. Компания watchTowr заявила, что не подтвердила таких случаев, а IPA не располагает сведениями об атаках; при этом опубликовано видео атак на тестовых стендах, снятое исследователем Кириллом Фирсовым.
- Техническая причина по оценке GMO Flatt Security, а именно ошибка повреждения памяти, связанная с функцией Session Upload Progress. В сводке ITmedia сказано, что это верно только если уязвимость совпадает с исследованием самой компании, и доступна только сводка.
- IPA заявило, что не подтвердило атак, использующих уязвимости, и назвало своё предупреждение превентивным. Сообщается только в статьях Game*Spark и INSIDE, которые содержат один и тот же текст.
Что пишут местные СМИ
Хронология, местное время
- ASCII.jp сообщает об уведомлении команды PHP от 20 октября о выпуске исправлений в 23:00 по японскому времени 21 октября. [ 1 ]
- Gigazine сообщает о видео атаки исследователя Кирилла Фирсова и воспроизведении watchTowr CVE-2026-109618. [ 4 ]
- Начинается обслуживание Hebun Banzu Reddo (ヘブンバーンズレッド) в целях безопасности. [ 7 ]
- Запланированное время выпуска исправления PHP и начало экстренного обслуживания Uma Musume, Granblue Fantasy и других. [ 2 , 7 ]
- Gigazine сообщает о выпуске PHP 8.5.12, 8.4.27, 8.3.36 и 8.2.35. [ 9 ]
- Mynavi News сообщает, что обновление безопасности опубликовано 21 октября с призывом срочно обновиться. [ 10 ]
- ITmedia сообщает об исправленных версиях и призыве проекта немедленно обновиться. [ 11 ]