Команда безопасности PHP анонсировала выпуск экстренного обновления для устранения двух критических уязвимостей, получивших идентификаторы CVE-2026-109618 и CVE-2026-109619. В системе CVSS v4.0 обе угрозы получили оценку 9,2 балла.
Компания watchTowr подтвердила, что данные уязвимости являются zero-day эксплойтами для удаленного выполнения кода (RCE) и затрагивают PHP версии 5 и выше. Информация о проблеме впервые появилась 20 октября на платформе Hacker News, после чего данные распространились в социальных сетях.
Официальный релиз исправлений запланирован на 21 октября, 14:00 по всемирному координированному времени. Изначально выпуск патча ожидался 22 октября, однако разработчики ускорили процесс. Сроки могут быть сдвинуты еще раньше в случае утечки технических деталей или фиксации попыток эксплуатации.
На текущий момент нет доказательств массового использования уязвимостей злоумышленниками, а временные решения для защиты не представлены. Поскольку PHP является основой для WordPress, Drupal и Magento, системным администраторам рекомендуется проверить версии ПО и установить обновления сразу после их выхода.
