PHP Foundation выпустила обновления для версий 8.5.12, 8.4.27, 8.3.36 и 8.2.35, устраняющие две критические уязвимости CVE-2026-109618 и CVE-2026-109619. Обеим присвоен рейтинг 9.2 по шкале CVSSv4, что означает возможность неавторизованного удаленного выполнения кода.
Уязвимости позволяют злоумышленникам запускать произвольный код на сервере, что ведет к краже данных или захвату контроля над ресурсом. Наибольшему риску подвержены серверы с конфигурацией mod_php в Apache, где атака может произойти до запуска механизмов защиты приложений.
Государственные ведомства Финляндии, Франции и Нидерландов временно отключили часть своих сайтов. По данным компании Mallory, на 20 октября около 884 000 серверов использовали PHP версии 8.1 или старше, что составляет 59% от всех публично доступных хостов с известной версией PHP.
Разработчики выпустили патчи для версий 7.4, 8.0 и 8.1, хотя официальная поддержка распространяется только на 8.2 и новее. Версия 8.2 перестанет получать обновления безопасности после 31 декабря 2026 года. Владельцам сайтов рекомендуется обновить ПО вручную.
Компания Cloudflare внедрила правила межсетевого экрана для защиты клиентов от известных векторов атак. Эксперты подчеркивают, что установка патча является единственным надежным методом защиты, так как автоматические обновления систем управления контентом не всегда применяют данные исправления.
