ИИтог

Разработчики PHP предупредили о патчах для двух уязвимостей с оценкой 9,2 из 10

безопасностьРедакция ИИтогArs Technica🔥72Рейтинг ИИтог72Влияние78Новизна70Релевантность85Неожиданность70Участники35Достоверность75
Разработчики PHP предупредили о патчах для двух уязвимостей с оценкой 9,2 из 10

Разработчики PHP в понедельник сообщили, что планируют выпустить исправления для двух уязвимостей, каждая из которых получила оценку серьёзности 9,2 из 10. По данным Ars Technica, выход патчей запланирован чуть более чем через 12 часов от момента публикации материала. Уязвимости, как считается, необычно серьёзные, а PHP, язык программирования, на котором работают сайты и веб-приложения по всему миру.

В уведомлении сказано: «Всем пользователям PHP рекомендуется подготовиться заранее, чтобы обновиться, как только выйдет релиз». Там же разработчики оговаривают, что оставляют за собой право выпустить исправления раньше, если подробности любой из уязвимостей станут публичными или появятся свидетельства активной эксплуатации в реальных атаках.

Уведомление появилось после утечки якобы подробных сведений об уязвимостях; эти сведения пока не подтверждены. В утёкшем отчёте, как он описан в статье, показано видео, где инструмент для эксплуатации под названием PHP2Shell выполняет код на веб-серверах с WordPress 7.1.3, MediaWiki 1.46.2, phpBB 3.3.17, Magento 2.4.9, Joomla 6.2.0, Laravel 13.36.0, Laravel 8.83.29, Symphony 8.1.9, Drupal 11.4.10 и WHMCS 9.0.9. Все эти приложения используют PHP. Видео с демонстрацией инструмента было перезалито отдельно.

Автору статьи найти сам неподтверждённый отчёт не удалось. По словам компании по безопасности watchTowr, в отчёте утверждается, что проблема затрагивает все версии PHP начиная с PHP 5, вышедшего в 2004 году. Та же компания заявила, что подтвердила реальность уязвимостей, которые значатся под номерами CVE-2026-109618 и CVE-2026-109619.

Ключевые факты

  • Разработчики PHP в понедельник объявили о скором выпуске патчей для двух уязвимостей, у каждой оценка серьёзности 9,2 из 10; выход запланирован чуть более чем через 12 часов от момента публикации статьи.
  • Пользователям рекомендовано подготовиться заранее; разработчики оставляют право выпустить исправления раньше, если подробности станут публичными или появится активная эксплуатация.
  • Поводом стала утечка непроверенных сведений: видео с инструментом PHP2Shell, выполняющим код на серверах с WordPress, Drupal, Joomla, Laravel, Magento и другими приложениями на PHP.
  • watchTowr сообщает, что подтвердила реальность уязвимостей CVE-2026-109618 и CVE-2026-109619; по её словам, в неподтверждённом отчёте говорится о затронутых версиях начиная с PHP 5 (2004 год).

Почему это важно

PHP работает под огромным числом сайтов и веб-приложений, а речь идёт о двух уязвимостях с оценкой 9,2 из 10, которые, как считается, необычно серьёзны. Сами разработчики PHP заранее предупредили пользователей и оговорили, что могут выпустить исправления раньше срока. Заранее объявленная дата выхода исправлений даёт администраторам время подготовиться к обновлению.

Кому это важно

Администраторам сайтов и серверов на PHP, а также командам, которые поддерживают системы на WordPress, MediaWiki, phpBB, Magento, Joomla, Laravel, Symphony, Drupal и WHMCS: именно на этих приложениях, по описанию статьи, в утёкшем видео показано выполнение кода. Также это касается хостинг-провайдеров и всех, кто отвечает за обновления серверного ПО.

Как это применить

Следовать совету разработчиков: подготовиться заранее, чтобы обновить PHP сразу после выхода релиза. Практически это значит выяснить, какие версии PHP работают на ваших серверах, заранее заложить окно для обновления и следить за официальным анонсом, поскольку релиз может выйти раньше запланированного срока. Точное время выхода и номера версий с исправлениями в источнике не указаны.

Можно ли доверять

Сам факт анонса исходит от разработчиков PHP и описан по их уведомлению. Данные об утечке не подтверждены: автору статьи найти исходный отчёт не удалось, о месте утечки и её источнике ничего не сказано. Подтверждение реальности уязвимостей и их номера CVE приведены со слов компании watchTowr. Утверждение о том, что затронуты все версии начиная с PHP 5, относится именно к неподтверждённому отчёту. Уведомление в тексте статьи не процитировано с названием или ссылкой.

Риски и подводные камни

Характер уязвимостей (тип ошибки, способ атаки, нужна ли аутентификация) в источнике не описан, поэтому оценить реальный риск точнее нельзя. О фактах эксплуатации в реальных атаках в источнике не сообщается, но разработчики прямо допускают, что исправления могут выйти раньше срока, если такие свидетельства появятся. Непроверенный отчёт с видео инструмента PHP2Shell, работоспособность которого не подтверждена, может ускорить появление атак после публикации патчей, поэтому откладывать обновление не стоит.

«Всем пользователям PHP рекомендуется подготовиться заранее, чтобы обновиться, как только выйдет релиз.»

— Уведомление разработчиков PHP