Разработчики PHP объявили о срочном патче для двух критических уязвимостей

Список затронутых версий, исправленные сборки и технические детали разработчики обещают опубликовать вместе с патчем. Если сведения об ошибках станут публичными или появятся признаки их применения в атаках, исправление может выйти раньше. Администраторам серверов советуют следить за официальным сайтом PHP и обновиться сразу после релиза.

Как передаёт Kod.ru со ссылкой на Ars Technica, объявлению предшествовала утечка неподтверждённых данных: в сети появилось видео, на котором инструмент PHP2Shell, как утверждается, запускает произвольный код на сайтах с WordPress, MediaWiki, Joomla, Drupal и другими платформами. По данным ИБ-компании watchTowr, уязвимостям присвоены идентификаторы CVE-2026-109618 и CVE-2026-109619, и обе дают возможность удалённого выполнения кода. Сведения о том, что под угрозой все версии начиная с PHP 5, официально не подтверждены; об эксплуатации на 21 октября не сообщалось.

Компания Wordfence предупредила, что уязвимыми окажутся все сайты на WordPress, а обновление PHP придётся устанавливать вручную. По оценке одного из исследователей, под угрозой, вероятно, более 1,3 млн подключённых к интернету хостов. Служба кибербезопасности Евросоюза (EU CERT) и Национальный центр кибербезопасности Великобритании рекомендовали компаниям, которые не могут сразу обновиться, изолировать доступные из интернета приложения от публичных сетей или временно отключить их. Разработчик GrapheneOS на время закрыл свой форум для пользователей.