PHP Foundation выпускает экстренные патчи для двух критических уязвимостей, затрагивающих все версии с 2004 года

PHP Foundation объявила в среду об экстренных обновлениях безопасности для устранения двух критических уязвимостей, CVE-2026-109618 и CVE-2026-109619, которые затрагивают все установки PHP, обслуживающие веб-запросы, начиная с версии 5, выпущенной в 2004 году. Официальные патчи будут предоставлены только для PHP 8.2 и новее, хотя некоторые сторонние поставщики продолжают выпускать исправления для более старых версий.

"Полных методов смягчения нет, обновление — единственный безопасный вариант," — написала организация в своем рекомендационном документе.

Исследователи в области безопасности предупредили, что уязвимости могут позволить неаутентифицированным злоумышленникам выполнять код на затронутых серверах или считывать конфиденциальную память, потенциально раскрывая пароли, токены и сертификаты. Независимый консультант Лукаш Олейник описал уязвимости как сравнимые с критической инфраструктурой, отметив, что миллионы систем могут оказаться под угрозой.

"Все должны немедленно установить патч, эксплуатация может произойти очень быстро и в большом масштабе," — сказал Олейник.

Cloudflare зафиксировала ранние признаки атак до выпуска патчей, а компания Sansec предсказала массовую эксплуатацию в течение нескольких минут после обновления. Некоторые организации, включая сайты финского правительства, французские министерства и порт Роттердама, временно вывели свои веб-сайты из сети в качестве предосторожности.

Британский Национальный центр кибербезопасности и другие национальные агентства выпустили предупреждения, призывая к быстрому исправлению или временной остановке уязвимых систем. Заместитель директора по кибербезопасности ФБР посоветовал организациям изолировать скомпрометированные серверы, сохранять журналы и сообщать о инцидентах в местные отделения ФБР.

Wiz, компания по кибербезопасности, принадлежащая Google, заявила, что её исследователи обнаружили уязвимости с помощью инструментов ИИ, а OpenAI и другие фирмы также сообщили о независимых находках. Уязвимости получили оценку CVSS 9,2, указывающую на критический уровень серьезности.