Команда PHP выпускает экстренные патчи для критических уязвимостей удалённого выполнения кода

Команда разработки PHP объявила об экстренных обновлениях безопасности, устраняющих две критические уязвимости, идентифицированные как CVE-2026-109618 и CVE-2026-109619, которые могут позволить неаутентифицированное удалённое выполнение кода на веб-серверах. Патчи включены в версии PHP 8.5.12, 8.4.27, 8.3.36 и 8.2.35, и команда настоятельно призывает всех пользователей PHP применить обновления без задержек.

"Эти находки относятся к самым тяжёлым уязвимостям, обнаруженным в PHP, и, возможно, в истории программного обеспечения. Основные дефекты существовали десятилетиями, но демонстрация их эксплуатируемости требовала исключительно сложной цепочки шагов, находящейся на пределе возможностей человеческих исследователей. Модели передового ИИ существенно снизили этот барьер, превратив давнюю уязвимость в эксплойт," объяснили исследователи из Wiz.

Все установки PHP, обслуживающие веб-запросы, затронуты, включая PHP-FPM, Apache с modphp, php-cgi, FrankenPHP и LiteSpeed, при этом развертывания с modphp находятся под наибольшим риском. Рабочий эксплойт продемонстрировал, что один неаутентифицированный запрос может инициировать атаку до выполнения какого-либо кода приложения.

"Ситуация с PHP приведёт к массовому числу инцидентов — это одна из крупнейших уязвимостей за последние годы," отметил исследователь безопасности Кевин Бомонт.

Британский Национальный центр кибербезопасности (NCSC) советует организациям рассмотреть возможность отключения от сети любых систем, которые нельзя сразу запатчить.

"Так много встроенных установок, которые никогда не будут запатчены. Слишком много забытых, не поддерживаемых приложений. Для этой уязвимости будет длинный хвост," прокомментировал эксперт по компьютерной криминалистике Хэл Померанц.

Для устранения уязвимостей пользователи должны обновиться до указанных выше запатченных версий PHP. Дистрибутивы Linux и поставщики долгосрочной поддержки получили патчи до публичного релиза, поэтому администраторам следует проверить их доступность у своих поставщиков. Проект PHP больше не поддерживает PHP 8.1 и более ранние версии; однако некоторые поставщики предоставляют обратно портированные исправления для этих релизов. Пользователям, использующим поддерживаемый добровольцами репозиторий rpms.remirepo.net, рекомендуется перейти на пакеты дистрибутива или собрать PHP из исходного кода, так как репозиторий сегодня обновления получать не будет.

Для сред, которые не могут обновиться до поддерживаемой версии, команда безопасности PHP также предоставила минимальные исходные обратно портированные исправления для PHP 7.4, 8.0 и 8.1, предназначенные для тех, кто компилирует PHP из исходного кода или не имеет поддержки от поставщика.