Команда PHP планирует экстренные патчи для двух критических уязвимостей удаленного выполнения кода
Команда разработчиков PHP выпустит экстренные обновления безопасности 21 октября, чтобы исправить две уязвимости удаленного выполнения кода высокой степени опасности после утечки деталей до запланированного раскрытия.
Команда по безопасности PHP объявила, что экстренные обновления будут выпущены в среду, 21 октября, в 14:00 UTC (10:00 AM по восточному времени) для устранения двух критических уязвимостей удаленного выполнения кода, каждая из которых оценена в 9.2 по CVSS v4.0. Администраторам было рекомендовано подготовиться к установке патчей сразу после их появления, а команда предупредила, что может выпустить обновления раньше, если уязвимости будут публично раскрыты или появятся доказательства активной эксплуатации.
Уязвимости, идентифицированные как CVE-2026-109618 и CVE-2026-109619, предположительно затрагивают версии PHP от 5 до 8. Исследователь безопасности WatchTowr Бенджамин Харрис подтвердил реальность уязвимостей и отметил, что информация о них была утечена до запланированной даты раскрытия.
"Мы оставляем за собой право выпустить обновления раньше, если детали любой из уязвимостей станут публичными или появятся доказательства активной эксплуатации в дикой среде," — заявила команда по безопасности PHP.
"За последний час были утечены две уязвимости удаленного выполнения кода в PHP. Эти уязвимости ранее находились под эмбарго и планировались к выпуску в четверг в 11 am ET," — сказал Харрис в интервью BleepingComputer.
Команда PHP не раскрыла технические детали, затронутые версии или конкретные патчи до выпуска обновлений. WatchTowr сообщил, что воспроизвел одну из уязвимостей, но будет удерживать дальнейшую информацию до появления официальных исправлений.