Команда безопасности PHP спешит с патчами после раннего утечки критических уязвимостей
Два уязвимых места высокой степени опасности в PHP были раскрыты за день до запланированного выпуска, что заставило проект PHP и европейские киберорганизации призвать к немедленному исправлению.
Две уязвимости удалённого выполнения кода в PHP, идентифицированные как CVE-2026-109618 и CVE-2026-109619 и совместно названные «PHP2Shell», были обнародованы 20 октября, за день до запланированного раскрытия и выпуска патчей. Утечка произошла из сообщения на форуме Hacker News пользователем под именем «petecooper», который раскрыл номера CVE и заявил, что уязвимости затрагивают версии PHP, начиная с PHP 5.
Команда безопасности PHP подтвердила, что патчи планируются к выпуску в 14:00 GMT 21 октября и заявила, что может ускорить их выпуск, если детали станут публичными или будет наблюдаться активная эксплуатация. > “Мы оставляем за собой право выпустить их раньше, если детали любой из уязвимостей станут публичными или появятся доказательства активной эксплуатации в дикой природе.”
CERT-EU и Национальный центр кибербезопасности Великобритании выпустили экстренные рекомендации, призывающие организации подготовиться к немедленному применению патчей. CERT-EU рекомендовал изолировать интернет-ориентированные приложения, когда немедленное патчирование невозможно. > “Если немедленное патчирование невозможно, организации должны рассмотреть возможность изоляции интернет-ориентированных приложений от публичных сетей до появления исправления,”
PHP обслуживает примерно 70 % веб-сайтов с известными серверными языками, включая крупные системы управления контентом, такие как WordPress, Drupal, Joomla и Magento. Независимый исследователь Кевин Бомонт указал, что предстоящие исправленные версии, вероятно, последуют за предварительными сборками, доступными в настоящее время.