Команда разработчиков PHP 21 октября 2026 года выпустила экстренные обновления для устранения двух критических уязвимостей: CVE-2026-109618 и CVE-2026-109619. Обе ошибки получили оценку 9,2 балла по шкале CVSS v4.0.
Уязвимости позволяют злоумышленникам удаленно выполнять код без авторизации. Патчи выпущены для версий PHP 8.5.12, 8.4.27, 8.3.36 и 8.2.35. Проблема затрагивает PHP-FPM, Apache с mod_php, php-cgi, FrankenPHP и LiteSpeed.
CVE-2026-109618 связана с некорректной обработкой нехватки памяти, что ведет к повреждению данных. CVE-2026-109619 возникает из-за использования устаревших внутренних состояний процесса после освобождения памяти.
Пользователям версий PHP 8.1 и старше, которые больше не получают официальных обновлений, рекомендуется уточнить наличие патчей у поставщиков ПО или дистрибьюторов Linux. Администраторам следует проверить текущую версию PHP.
Из-за высокого риска правительственные структуры Нидерландов и Финляндии временно отключали доступ к ряду сервисов до выхода патчей. Сейчас владельцам сайтов необходимо проверить серверы на наличие подозрительных процессов.
