Две критические дыры PHP поставили под угрозу серверы и сайты по всему миру, в Рунете под угрозой десятки тысяч ресурсов
iXBT.com ·
Разработчики PHP выпустили срочные обновления, устраняющие две критические уязвимости, которые позволяют злоумышленникам удалённо выполнять произвольный код на сервера. Ошибки получили идентификаторы CVE-2026-109618 и CVE-2026-109619, их опасность оценили в 9,2 балла из 10 по шкале CVSS 4.0. Пользователям настоятельно рекомендуют как можно скорее установить исправления.
Исправления вошли в версии PHP 8.5.12, 8.4.27, 8.3.36 и 8.2.35. Обновлённые пакеты также должны предоставлять поставщики Linux-дистрибутивов и долгосрочно поддерживаемых программных платформ. Ветки PHP 8.1 и старше больше не получают обычных обновлений от основного проекта, однако для некоторых из них подготовлены отдельные исправления. Если установить обновление немедленно невозможно, разработчики предлагают временные меры по снижению риска, но подчёркивают, что они не обеспечивают полной защиты.
Информация об уязвимостях появилась на фоне сообщений о временном отключении ряда сайтов в Европе. По опубликованным данным, некоторые государственные и другие организации приостанавливали работу ресурсов в качестве меры предосторожности. В России потенциальная угроза также может затронуть большое число сайтов: руководитель центра разработки больших языковых моделей MWS AI Валентин Малых заявил РБК, что под угрозой могут оказаться десятки тысяч ресурсов Рунета.
Одну из уязвимостей, по сообщению OpenAI, выявили с помощью модели GPT-5.6 Sol в рамках инициативы Patch the Planet. Компания сообщила, что работала с исследователями, разработчиками и специалистами по кибербезопасности над поиском ошибок и подготовкой защитных мер до раскрытия технических подробностей. Ранее в сети также появлялись сообщения об инструменте PHP2Shell, который, как утверждалось, позволяет выполнять произвольный код на сайтах, использующих популярные CMS и веб-фреймворки.