PHP: критические уязвимости позволяют удалённое выполнение кода

PHP выпустил экстренные обновления для двух критических уязвимостей

Разработчики PHP выпустили экстренные обновления для устранения двух критических уязвимостей. Кибербезопасные органы предупредили организации о необходимости немедленного исправления или вывода из эксплуатации затронутых приложений. Уязвимости CVE-2026-109618 и CVE-2026-109619 позволяют удалённое выполнение кода без аутентификации. Разработчики PHP призвали пользователей срочно обновиться.

PHP поддерживает веб-запросы и используется повсеместно

Все установки PHP, обслуживающие веб-запросы, потенциально подвержены риску. Это включает развёртывания с использованием PHP-FPM, Apache mod_php, php-cgi, FrankenPHP и LiteSpeed. Разработчики отметили, что наибольший риск представляют установки с mod_php. Существует демонстрация эксплуатации, при которой неаутентифицированный запрос может инициировать атаку до выполнения кода приложения. Jake Knott, глава отдела аналитики угроз в watchTowr, сообщил о наблюдении эксплуатации уязвимостей в реальных условиях. Появились Proof-of-Concept (PoC) с различными User-Agent, такими как 'php2shell'. Эксперты watchTowr ожидают, что успешные атаки станут возможны в ближайшее время.

Уязвимости CVE-2026-109618 и CVE-2026-109619 затрагивают все версии PHP

Уязвимости CVE-2026-109618 и CVE-2026-109619 получили оценку CVSS 9.2. CERT-EU рекомендовал организациям, для которых немедленное исправление невозможно, рассмотреть изоляцию интернет-приложений от публичных сетей до выпуска исправлений. В качестве меры предосторожности были временно отключены финские государственные сервисы и сайты нидерландского парламента, кибербезопасных органов и регулятора защиты данных. Группа по защите конфиденциальности noyb также временно отозвала свой веб-сайт. PHP используется в WordPress, Drupal, Joomla и Magento, платформах общего хостинга, панелях управления и множестве другого программного обеспечения, которое не афиширует использование PHP. Это делает идентификацию уязвимых установок сложной задачей. Исследователь безопасности John Hammond из Huntress отметил, что количество мест для поиска уязвимых версий PHP очень велико.

Обновиться до последних версий PHP или изолировать приложения

Разработчики PHP выпустили исправления для версий 8.5.12, 8.4.27, 8.3.36 и 8.2.35. Организациям следует немедленно обновить свои установки PHP. Если немедленное обновление невозможно, рекомендуется изолировать интернет-приложения от публичных сетей. CERT-EU предоставил рекомендации по снижению рисков до установки исправлений.