PHP в зоне риска: две критические уязвимости уже утекли
Следите за новостями по этой теме!
Подписаться на «Рифы и пачки / Твоя культура»
Администраторы сайтов по всему миру готовятся к срочному обновлению PHP: разработчики предупредили о двух критических уязвимостях, которые могут позволить злоумышленникам удалённо запускать код на уязвимых серверах. PHP — один из самых распространённых языков программирования для сайтов и веб-приложений, поэтому потенциальный масштаб проблемы велик. Возможные последствия — захват сайтов, кража данных и перенаправление посетителей на вредоносные ресурсы.
Команда PHP опубликовала предварительное предупреждение о готовящемся выпуске исправлений. Релиз назначен на среду, 21 октября 2026 года, на 14:00 UTC. Обе уязвимости получили оценку 9,2 из 10 по шкале CVSS 4.0 — системе оценки серьёзности уязвимостей. Разработчики советуют администраторам подготовиться и установить обновление сразу после выхода. Если подробности уязвимостей станут публичными или появятся свидетельства эксплуатации, исправления могут выпустить раньше. Сведения о затронутых версиях и точных исправленных сборках обещают опубликовать вместе с релизом.
Необычное предварительное предупреждение появилось после того, как информация об уязвимостях утекла до окончания эмбарго — согласованного периода, в течение которого сведения не должны публиковаться. Ранее пользователь под псевдонимом petecooper написал на форуме Hacker News, что PHP раскроет две уязвимости удалённого выполнения кода 22 октября 2026 года. Позднее сообщение удалили, поэтому независимо проверить его содержание не удалось. По данным BleepingComputer, в публикации утверждалось, что уязвимости имеют максимальную оценку CVSS 10,0 и затрагивают версии PHP начиная с PHP 5.
В сообщении также назывались идентификаторы CVE-2026-109618 и CVE-2026-109619. Эти номера впоследствии подтвердились; расхождение касалось оценки серьёзности: в предупреждении PHP указано 9,2, а не 10,0.
Эмбарго должно было завершиться 20 октября, а исправление планировали выпустить на следующий день. Однако Флориан Рот, руководитель исследовательского направления Nextron Systems, написал в X, что сведения уже распространились: он сообщил об уязвимости удалённого выполнения кода в ядре PHP, назвал оценку 10,0 и указал, что подробности должны появиться 20 октября. По его словам, исправления получат только версии PHP 8. После этого PHP пришлось опубликовать предупреждение и разослать сообщение в список рассылки ANNOUNCE, сообщает BleepingComputer.
Исследователи watchTowr подтвердили существование уязвимостей и сообщили, что в сообществе их называют «php2shell». Технические подробности пока не раскрывают, чтобы не облегчать атаки. Предположительно, проблема может затрагивать PHP 5, 6, 7 и 8, однако окончательный список версий должен появиться с выпуском исправлений.
Генеральный директор watchTowr Бенджамин Харрис заявил BleepingComputer, что две уязвимости удалённого выполнения кода утекли примерно за час до комментария. Изначально их раскрытие планировалось на четверг, 11:00 по восточному времени США. Харрис подтвердил, что уязвимости реальны, и сообщил, что исследователям удалось воспроизвести CVE-2026-109618, то есть проверить её работоспособность.
На данный момент подтверждённых сообщений о применении этих уязвимостей в реальных атаках в качестве zero-day — уязвимостей, используемых до выхода исправления, — нет. Администраторам остаётся следить за официальным выпуском и установить патчи, как только они станут доступны.
PEREC.RU
У кибербезопасности есть любимый жанр: все знают, что дверь скоро заменят, но кто-то успевает громко объявить, где именно она сломана. После этого администраторы получают не спокойное окно для обновления, а гонку между публикацией патча и теми, кто предпочитает изучать чужие замки без приглашения.
В этой истории спорят о сроках, оценках и списках версий — будто точность цифры способна сама по себе закрыть уязвимость. Но рейтинг риска не является ни замком, ни страховкой: важнее, насколько быстро выйдет исправление и сколько владельцев сайтов действительно поставят его, а не отложат на «после выходных», то есть до следующего инцидента.
Эмбарго обычно придумано для того, чтобы разработчики успели подготовить защиту прежде, чем детали попадут к потенциальным атакующим. Система работает, пока все участники соблюдают правила; стоит одному человеку решить, что информационный фейерверк важнее аккуратности, и координация превращается в коллективное тушение пожара. Выигрывают здесь разве что те, кто любит ранний доступ к чужой инфраструктуре.
Особенно обнадёживает знакомая неопределённость: предполагаемые версии уже обсуждают, а окончательный перечень обещают позже. Для редактора это хороший повод напомнить, что масштаб PHP одновременно делает его удобным инструментом и привлекательной целью. Чем больше сайтов зависит от одного компонента, тем дороже обходится привычка считать обновления скучной технической уборкой.
Пока атак не подтвердили, и это действительно хорошая новость — редкая пауза, а не повод расслабиться. Владельцам сайтов стоит следить за официальным выпуском, проверять, какая версия установлена, и не оставлять обновление в списке дел рядом с «разобрать почту» и «когда-нибудь сменить пароль». В цифровом мире «потом» иногда оказывается просто вежливым названием момента, когда чужой код уже выполняется на твоём сервере.
Скрытый мотив этой истории не обязательно искать в кабинете злодея с капюшоном: достаточно обычной смеси спешки, саморекламы и уверенности, что правила эмбарго придуманы для кого-то менее важного. Одни получают внимание за раннюю сенсацию, другие — дополнительную работу и риск. А пользователям остаётся надеяться, что администратор их сайта выберет патч, а не очередное совещание о том, почему патч пока не поставили.
