PHP выпустит экстренные патчи от двух критических дыр
По словам watchTowr, уязвимости затрагивают PHP всех версий начиная с пятой, и одну из них компания уже воспроизвела.
Изображение: BleepingComputer
Команда разработчиков PHP 21 октября в 14:00 по UTC (19:00 по времени Астаны) выпустит обновления, которые закрывают две критические уязвимости. Каждая получила оценку 9,2 из 10 по шкале CVSS v4.0. Команда призвала всех пользователей PHP подготовиться, чтобы обновиться сразу после выхода исправлений.
PHP — один из самых распространённых языков для сайтов. На нём работают системы управления контентом, интернет-магазины и множество веб-сервисов. Технических деталей разработчики пока не раскрывают. Затронутые версии и номера исправленных сборок обещают опубликовать вместе с релизом.
Сведения утекли раньше срока
Информация об уязвимостях появилась в сети до запланированного раскрытия. Генеральный директор компании watchTowr Бенджамин Харрис рассказал BleepingComputer, что речь идёт о двух уязвимостях удалённого выполнения кода. Такая ошибка позволяет злоумышленнику запустить свои команды на чужом сервере. «Мы можем подтвердить, что эти уязвимости реальны», — сказал Харрис.
По его словам, обе уязвимости затрагивают PHP версий 5, 6, 7 и 8, а их опасность он оценил в максимальные 10 баллов. Специалисты watchTowr воспроизвели одну из них, CVE-2026-109618, но технические детали опубликуют только после выхода патчей. Вторая уязвимость получила номер CVE-2026-109619.
По данным watchTowr, раскрытие изначально планировали на четверг, 22 октября. Команда PHP оставила за собой право выпустить исправления раньше, если подробности станут публичными или появятся признаки реальных атак. Пока, по словам watchTowr, атак с использованием этих уязвимостей никто не замечал.
Что известно о защите
Временных способов защиты разработчики не предложили, поэтому единственная мера — обновление. Последние плановые версии PHP 8.2–8.5 вышли 24 сентября, и о том, что они закрывают новые уязвимости, ничего не сообщалось. Ветка PHP 8.6 пока находится в стадии тестирования.
Под угрозой прежде всего сайты на популярных движках, включая WordPress. Владельцы таких сайтов на этой неделе уже столкнулись с другой атакой: хакеры встроили бэкдор в плагин Rank Math.
Источники: BleepingComputer — PHP предупредил о двух критических уязвимостях, PHP.net — объявление о выпуске исправлений
