Специалисты Bi.Zone WAF зафиксировали попытки эксплуатации двух критических уязвимостей в PHP — CVE-2026-109618 и CVE-2026-109619. Проблемы позволяют удаленно выполнять команды на сервере без авторизации. Уязвимости получили оценку 9,2 балла по шкале CVSS 4.0 и связаны с ошибкой типа use-after-free в механизме обработки загрузки файлов session.upload_progress.
Уязвимости затрагивают версии PHP с 5.4 по 8.5.4 включительно. В сети уже появились технические материалы, упрощающие создание эксплоитов. По оценкам Bi.Zone, в российском сегменте интернета насчитывается около 50 000 веб-приложений, потенциально подверженных атакам из-за использования данных версий PHP.
Для защиты инфраструктуры Bi.Zone WAF разработала правило фильтрации HTTP-запросов, выявляющее характерные признаки атак. Эксперты рекомендуют компаниям провести инвентаризацию активов и подготовиться к установке обновлений. Если используемая версия PHP больше не поддерживается, рекомендуется ограничить доступ к приложению из интернета.
