PHP готовит экстренные обновления безопасности: потенциальная возможность удалённого выполнения кода на серверах
- PHP готовит исправления для CVE-2026-109618 и CVE-2026-109619; выпуск назначен на 21 октября 2026 года, 14:00 UTC.
- Компания watchTowr подтвердила обе уязвимости; исследователи считают, что они могут затрагивать PHP начиная с ветки 5.
- Sansec предупреждает о возможных попытках эксплуатации через 15 минут после выхода обновлений; оценка в 1,3 млн узлов предварительная.
Почему это важно: Если удалённое выполнение кода подтвердится, злоумышленники смогут запускать команды на серверах, что может привести к компрометации приложений, утечке данных и проникновению во внутреннюю инфраструктуру.
Команда PHP предупредила о выпуске двух критических исправлений безопасности. Администраторам рекомендуется заранее подготовить инфраструктуру к обновлению: опубликованные сведения об уязвимостях указывают на потенциальную возможность удалённого выполнения кода на серверах.
Две критические уязвимости
Разработчики PHP объявили о подготовке экстренных обновлений для двух уязвимостей — CVE-2026–109618 и CVE-2026–109619. Каждая из них получила оценку критичности 9,2 из 10 по CVSS v4.0.
Согласно официальному уведомлению, выпуск исправлений запланирован на 21 октября 2026 года, 14:00 UTC. Разработчики оставили за собой право опубликовать обновления раньше.
Технические подробности и перечень исправленных версий PHP должны быть опубликованы вместе с обновлениями.
Что известно о возможной атаке
Предупреждение появилось после утечки неподтверждённых сведений о предполагаемом эксплойте под названием PHP2Shell. В опубликованной видеодемонстрации, согласно сообщениям СМИ, инструмент позволял выполнять команды на веб-серверах, использующих PHP.
Среди упомянутых платформ — WordPress, MediaWiki, phpBB, Magento, Joomla, Laravel, Symfony, Drupal и WHMCS.
Компания watchTowr сообщила, что подтвердила существование обеих уязвимостей. По оценке исследователей, проблема может затрагивать версии PHP начиная с ветки PHP 5, выпущенной в 2004 году. Однако окончательный перечень уязвимых версий должен подтвердить официальный бюллетень разработчиков.
Если предположения об удалённом выполнении кода подтвердятся, злоумышленники потенциально смогут запускать собственные команды на уязвимых серверах. Последствия могут включать компрометацию веб-приложений, утечку данных и дальнейшее проникновение во внутреннюю инфраструктуру.
Массовые атаки могут начаться сразу после публикации исправлений
Исследователи компании Sansec предупреждают, что массовые попытки эксплуатации могут начаться уже через 15 минут после выхода обновлений. Это прогноз специалистов, а не подтверждение того, что массовые атаки уже происходят.
По одной из оценок, потенциально затронутыми могут оказаться около 1,3 млн подключённых к интернету узлов. Эта цифра также является предварительной оценкой, а не подтверждённым количеством уязвимых серверов.
Что рекомендуется сделать администраторам
- Провести инвентаризацию. Определить все серверы с PHP, включая веб-сайты, CMS, интернет-магазины, API и внутренние приложения.
- Назначить ответственных. Убедиться, что команда, отвечающая за PHP и веб-инфраструктуру, готова оперативно установить исправления.
- Подготовить резервные копии. Сохранить файлы сайтов, конфигурации и базы данных, проверив возможность восстановления.
- Запланировать окно обслуживания. Подготовить обновление PHP, проверку совместимости приложений и план отката на случай проблем.
- Следить за официальными уведомлениями. Отслеживать сайт PHP.net и официальные бюллетени безопасности.
Если немедленно установить исправления невозможно, для критически важных публичных приложений стоит рассмотреть временное ограничение доступа из интернета до устранения уязвимостей.
Источники:
Ars Technica: PHP maintainers tell web devs to prepare themselves for critical security patches
>>> Подробности
