Команда безопасности PHP предупреждает администраторов о двух критических уязвимостях CVSS 9.2, патчи запланированы на 21 октября
Проект PHP объявил о двух уязвимостях удалённого выполнения кода с рейтингом CVSS 9.2 и запланировал экстренные патчи на 21 октября, призывая операторов подготовить свои системы.
Команда безопасности PHP предупредила, что две уязвимости удалённого выполнения кода, каждая оценённая в 9.2 по шкале CVSS v4.0, будут исправлены в экстренном выпуске в среду, 21 октября 2026 года в 14:00 UTC. Уведомление, опубликованное 20 октября, сообщает, что полные технические детали, затронутые версии и патчи будут опубликованы вместе с обновлением, и что команда может выпустить исправления раньше, если уязвимости станут публичными или появятся доказательства активной эксплуатации.
Уязвимости идентифицированы как CVE-2026-109618 и CVE-2026-109619. Компания по безопасности watchTowr описала их как уязвимости удалённого выполнения кода, позволяющие злоумышленникам выполнять произвольный код на уязвимых серверах, в то время как рекомендация CERT-EU подтверждает такой же уровень риска. Обе организации отметили, что объявление PHP не раскрывает номера CVE и точные механизмы уязвимостей.
«Cloudflare сообщает, что наблюдает ранние попытки эксплуатации двух критических уязвимостей PHP, детали которых появились до запланированного выпуска команды безопасности PHP», — сказал представитель Cloudflare журналистам.
Предварительные отчёты указывают, что проблемы могут затронуть версии PHP, начиная с PHP 5, хотя поставщик не подтвердил масштаб воздействия. PHP не указал, уязвимы ли установки по умолчанию или какие настройки конфигурации могут смягчить риск.
Администраторам рекомендуется использовать короткое подготовительное окно для выявления всех развертываний PHP, проверки их владельцев и планирования развертывания патчей. CERT-EU советует изолировать публично доступные PHP-приложения от открытых сетей, если немедленная установка патча невозможна, при этом учитывая доступность сервисов и бизнес-требования.
Уведомление также ссылалось на публичный репозиторий доказательства концепции, предоставляющий инструменты проверки и лабораторную настройку для тестирования уязвимостей, известный внутри как «php2shell». Прошлые инциденты, такие как быстрая эксплуатация CVE-2024-4577, подчёркивают важность оперативного развертывания патчей, хотя эксплуатация недавно раскрытых уязвимостей пока не подтверждена.
После выпуска патчей операторы должны обратиться к официальному списку затронутых версий, применить соответствующие обновления и проверить текущую версию PHP, чтобы убедиться, что исправление установлено.