Chainguard нарушила эмбарго PHP Foundation, опубликовав исправления раньше срока

PHP Foundation обвинила компанию Chainguard в нарушении эмбарго на раскрытие информации о безопасности. Chainguard опубликовала исправленные образы PHP за несколько часов до официального релиза. Это позволило злоумышленникам изучить исправления, пока другие дистрибьюторы готовились к выпуску обновлений. Инцидент произошел 21 октября. Фонд PHP описал процесс раскрытия уязвимостей, нарушенный утечкой идентификаторов CVE, случайной демонстрацией эксплойта и преждевременным выпуском исправлений от Chainguard. Работа над проблемой управления памятью, лежащей в основе уязвимостей, неоднократно останавливалась с 2024 года.

PHP исправила две критические уязвимости удаленного выполнения кода

PHP выпустила экстренные исправления для двух критических уязвимостей удаленного выполнения кода. Идентификаторы уязвимостей — CVE-2026-109618 и CVE-2026-109619. Исследователи продемонстрировали атаки, которые позволяют выполнять код на веб-серверах без аутентификации. Chainguard объяснила свое решение выпустить исправления раньше срока наличием активных эксплойтов в дикой природе. CEO Chainguard Дэн Лоренс заявил, что принял решение выпустить исправления после того, как обнаружил активную эксплуатацию уязвимости. Он отметил, что компания самостоятельно обнаружила уязвимость, помогла протестировать исправления и что образы с исправлениями доступны всем пользователям бесплатно.

Уязвимости CVE-2026-109618 и CVE-2026-109619 требуют обновления

Уязвимости CVE-2026-109618 и CVE-2026-109619 затрагивают PHP. Фонд PHP выпустил исправления для этих уязвимостей. Chainguard опубликовала образы с исправлениями 21 октября в 07:41 UTC, более чем за шесть часов до скоординированного релиза. Другие дистрибьюторы получили патч заранее, чтобы их пользователи могли обновиться одновременно с раскрытием уязвимостей. Фонд PHP отметил, что утечка идентификаторов CVE произошла 20 октября около 15:00 UTC. Видео с демонстрацией эксплойтов было опубликовано около 20:00 UTC 20 октября. Фонд PHP не выявил функциональных эксплойтов в публичных proof-of-concept до момента релиза, но не исключает возможность эксплуатации в других местах.

Обновиться до версии с исправлениями или поставить плагин безопасности

PHP Foundation рекомендует пользователям обновить свои системы до версий с исправлениями уязвимостей. Chainguard выпустила образы с исправлениями, которые доступны для скачивания. Фонд PHP также работает над изменением процесса принятия решений по безопасности, чтобы избежать задержек с выпуском критических исправлений. Уязвимость, связанная с проблемой управления памятью, была впервые обнаружена в 2024 году. Разработчики столкнулись с трудностями при устранении проблемы из-за потенциального нарушения совместимости, рисков отказа в обслуживании и необходимости изменений в сторонних расширениях. Фонд PHP просит компании, хостинг-провайдеров и облачные платформы, зависящие от PHP, финансировать больше инженеров с глубокими знаниями движка.