ИИтог

PHP закрыла две RCE-уязвимости во всей ветке 8.x после утечки CVE

безопасностьРедакция ИИтогSimon Willison🔥63Рейтинг ИИтог63Влияние70Новизна50Релевантность72Неожиданность65Участники40Достоверность85

Саймон Уиллисон в заметке от 21 октября 2026 года предупреждает: всем, у кого на PHP работает хоть что-то, необходимо обновиться. Сегодняшние обновления, охватывающие всю ветку PHP 8.x, закрывают две уязвимости удалённого выполнения кода (RCE). По его словам, эксплойты циркулируют с прошлой ночи из-за утечки в процессе скоординированного раскрытия уязвимостей.

Хронологию утечки Уиллисон приводит по рассказу PHP Foundation. Во вторник, 20 октября, примерно в 15:00 UTC два идентификатора CVE начали ходить по форумам и соцсетям. К ним прилагались неверное время релиза и неверная оценка CVSS 10.0 (фактическая оценка, 9.2). Технические детали при этом не утекли. В ответ проект PHP выпустил предварительное объявление раньше срока, в 19:30 UTC, и перенёс сам релиз с 22 октября, 14:00 UTC, на 21 октября, 14:00 UTC.

Около 20:00 UTC, уже после утечки и предобъявления, компания Calif, одна из охранных фирм, сообщивших об уязвимостях, по ошибке опубликовала видео. В нём её proof of concept (демонстрационный эксплойт) работал против ряда целей, а также раскрывались некоторые дополнительные, хотя и ограниченные, подробности об уязвимостях. Видео удалили, но его копии вскоре разошлись по соцсетям. По версии PHP Foundation, ролик ускорил разработку разных PoC и тем самым усилил распространение эксплойтов 21 октября.

Вторая часть заметки, более подробная хронология исходного ответственного раскрытия из статьи команды, нашедшей первую уязвимость. 19 августа 2026 года Wiz Research обнаружила первую уязвимость PHP с помощью Wiz Atlas, Gemini 4 Argon и GPT-5.6 Sol. 20 августа подтвердили RCE без аутентификации против Drupal, 21 августа, против WordPress. 24 августа Wiz Research сообщила об уязвимостях команде безопасности PHP, 21 сентября PHP подтвердил получение отчётов и начал разрабатывать согласованное исправление. 21 октября вышли исправленные релизы PHP и состоялось публичное раскрытие.

Ключевые факты

  • Обновления для всей ветки PHP 8.x закрывают две уязвимости удалённого выполнения кода; Уиллисон называет обновление жизненно важным.
  • 20 октября около 15:00 UTC два CVE-идентификатора утекли на форумы и в соцсети с неверным временем релиза и неверной оценкой CVSS 10.0 (на деле 9.2); технические детали не утекли.
  • PHP перенёс релиз с 22 октября на 21 октября, 14:00 UTC; позже Calif по ошибке опубликовала видео со своим PoC, копии которого разошлись по соцсетям и ускорили создание эксплойтов.
  • Первую уязвимость 19 августа нашла Wiz Research с помощью Wiz Atlas, Gemini 4 Argon и GPT-5.6 Sol; RCE без аутентификации подтвердили против Drupal и WordPress.

Почему это важно

PHP работает на огромном числе сайтов, а здесь речь о двух уязвимостях удалённого выполнения кода во всей ветке 8.x. Ситуацию усугубляет то, что график раскрытия сорвала утечка: по словам Уиллисона, эксплойты ходят с прошлой ночи, а видео Calif ускорило создание PoC. Заметно и то, что первую брешь нашли с помощью нейросетей (Gemini 4 Argon и GPT-5.6 Sol вместе с Wiz Atlas).

Кому это важно

Прежде всего тем, кто запускает что-либо на PHP: администраторам серверов, разработчикам и командам безопасности. По хронологии Wiz, RCE без аутентификации подтверждали против Drupal и WordPress, поэтому владельцам сайтов на этих системах стоит обратить на обновление особое внимание.

Как это применить

Совет автора заметки однозначен: если вы запускаете что-либо на PHP, обновитесь сегодня. Исправления выпущены для всей ветки 8.x, поэтому выбирайте актуальный патч-релиз своей линейки. Конкретные номера исправленных версий в заметке не названы, сверяйтесь с официальным объявлением PHP.

Можно ли доверять

Заметка, ссылочная запись в личном блоге Саймона Уиллисона, и основа её фактуры, собственный разбор инцидента от PHP Foundation и хронология команды Wiz Research, нашедшей уязвимость. Хронология утечки, версия PHP Foundation. Сведений о том, кто именно допустил утечку, в тексте нет. Мерам по укреплению безопасности PHP, упомянутым в заголовке, заметка отдельного разбора не уделяет.

Риски и подводные камни

Эксплойты и PoC уже ходят по сети, поэтому медлить с обновлением рискованно. В заметке не сказано, использовались ли они в реальных атаках. Неверная оценка CVSS 10.0 из утечки отличается от фактической 9.2, ориентироваться стоит на официальные данные. Технические подробности уязвимостей в заметке не раскрыты, а идентификаторы CVE не названы.

«Если вы запускаете что-либо на PHP, крайне важно обновиться.»

— Саймон Уиллисон, simonwillison.net