Разработчики PHP выпустили экстренные обновления для устранения двух критических уязвимостей с идентификаторами CVE-2026-109618 и CVE-2026-109619. Ошибки получили оценку 9,2 балла из 10 по шкале CVSS 4.0 и позволяют злоумышленникам удаленно выполнять произвольный код на серверах.
Исправления доступны в версиях PHP 8.5.12, 8.4.27, 8.3.36 и 8.2.35. Для веток PHP 8.1 и старше, не получающих регулярных обновлений, подготовлены отдельные патчи. Разработчики призывают установить обновления как можно скорее, так как временные меры защиты не гарантируют полной безопасности.
Одну из уязвимостей обнаружили с помощью модели GPT-5.6 Sol в рамках инициативы Patch the Planet. OpenAI работала над поиском ошибок совместно с исследователями и специалистами по кибербезопасности. По оценкам экспертов, в Рунете под угрозой могут находиться десятки тысяч ресурсов.
Ранее в сети упоминался инструмент PHP2Shell, который, по имеющимся данным, позволяет выполнять код на сайтах с популярными CMS и веб-фреймворками. В Европе ряд государственных и других организаций временно приостанавливали работу своих ресурсов в качестве меры предосторожности.
