В PHP нашли критические уязвимости, атакующие пытаются получить доступ к конфигам

PHP обновили из-за критических уязвимостей CVE-2026-109618 и CVE-2026-109619

21 октября 2026 года проект PHP выпустил экстренные обновления для двух критических уязвимостей. Уязвимости получили идентификаторы CVE-2026-109618 и CVE-2026-109619. Wordfence предупредил владельцев сайтов до появления исправлений и провел анализ после того, как команда изучила детали уязвимостей и протестировала исправленные и уязвимые версии PHP. На данный момент подтвержденных компрометаций, вызванных этими уязвимостями, не зафиксировано. Это указывает на сложность эксплуатации, учитывая, что Wordfence защищает более 5 миллионов сайтов на WordPress.

Firewall Wordfence перехватил 74 000 попыток эксплуатации

Через встроенные средства защиты Firewall Wordfence уже перехватил более 74 000 попыток эксплуатации или сканирования, связанных с новыми уязвимостями. Атаки использовали уязвимости PHP multipart и session-upload-progress. Для отслеживания и оценки развивающегося ландшафта угроз Wordfence расширяет возможности мониторинга. Анализ 10 000 событий, собранных с 20 по 22 октября, выявил несколько семейств эксплойтов, а не один proof-of-concept. Наиболее распространенные атаки (3752 события) нацелены на переполнение памяти и выполнение команд с целью кражи конфигурационных данных. Также зафиксированы попытки эксплуатации через сериализованные объекты (3673 события) и отравление сессионных файлов (512 событий).

Атакующие пытаются получить доступ к конфигам

Злоумышленники используют POST-запросы с multipart-форматом данных. В теле запроса содержатся повторяющиеся поля, имитирующие команды для выполнения кода. Эти команды пытаются прочитать файлы конфигурации, такие как .env и wp-config.php. Повторяющиеся поля t[n] создают нагрузку на память и формируют распределение запросов. Встроенная строка system и маркер P2S_OK указывают на попытку выполнения команд. Успешная эксплуатация позволила бы получить переменные окружения и части конфигурационных файлов. Запрос сам по себе не доказывает компрометацию, но демонстрирует намерения атакующих. Атаки также включают попытки установки постоянного доступа путем поиска директорий CMS и записи PHP-шеллов, таких как wp2s.php.

Обновиться до 8.5.12, 8.4.27, 8.3.36 или 8.2.35

Для устранения уязвимостей необходимо установить PHP версий 8.5.12, 8.4.27, 8.3.36 или 8.2.35. Также подойдет пакет от поставщика, содержащий оба исправления. После обновления требуется перезапустить все PHP-воркеры. Обновление WordPress не обновляет PHP. Эксплуатация уязвимостей зависит от конфигурации PHP, SAPI, загруженных расширений, классов приложений и состояния воркеров. Wordfence продолжает мониторинг ситуации и предоставит дополнительную информацию по мере ее поступления. Отсутствие подтвержденных компрометаций в телеметрии Wordfence не гарантирует безопасность непатченных серверов, так как сбои и обратные вызовы могут происходить вне WordPress и его логов. Это свидетельствует о сложности реальной эксплуатации.