PHP готовит экстренные патчи для двух критических RCE-уязвимостей
PHP назначил внеплановый выпуск обновлений на 21 октября, 14:00 UTC, для двух критических уязвимостей. Команда безопасности проекта оценила каждую в 9,2 балла по CVSS v4.0, а исследователи watchTowr сообщили, что ошибки позволяют удалённо выполнять код. На момент подготовки уведомления PHP не сообщал о подтверждённой эксплуатации.
Полное описание, перечень затронутых и исправленных версий PHP обещает опубликовать вместе с релизом. В уведомлении не названы ни идентификаторы CVE, ни компонент PHP, ни конфигурация или режим работы, необходимые для атаки.
Что известно до выхода исправлений
Поводом для досрочного раскрытия стала утечка: 20 октября на Hacker News появился пост о двух RCE-уязвимостях PHP. В нём фигурировали CVE-2026-109618 и CVE-2026-109619, оценка CVSS 10,0 и неподтверждённое утверждение о затронутых версиях начиная с PHP 5. WatchTowr подтвердил реальность информации об уязвимостях, но не детали; сам проект PHP этих идентификаторов не называл.
Оценка 10,0 относится к утечке. Официальная оценка PHP составляет 9,2 по CVSS v4.0. Исследователи называют связку php2shell, однако это название не принято самим проектом. PHP также подчеркнуло, что могло выпустить обновления ещё раньше, если бы стали публичны технические детали либо появились признаки атак.
Какие ветки получат обновления
Патчи доступны только для поддерживаемых веток 8.2–8.5. PHP 8.4 и 8.5 находятся в активной поддержке, а 8.2 и 8.3 получают только исправления безопасности. Ветки 8.1, 8.0, 7.x и 5.x завершили жизненный цикл и обновлений от PHP не получат.
Компания Mallory 20 октября обнаружила через Shodan около 884 тысяч доступных из интернета хостов, в HTTP-баннерах которых указана PHP 8.1 или более ранняя версия. Это 59% примерно из 1,5 млн хостов с указанной версией PHP. Подсчёт основан на баннерах и не доказывает уязвимость конкретных систем; ещё около 740 тысяч хостов сообщали о PHP без номера версии.
Что проверить администраторам
PHP не публиковал обходного решения. Huntress рекомендует заранее инвентаризировать все установки PHP, включая версии в устройствах поставщиков, программах для Windows и панелях управления cPanel и Plesk. Внешние сервисы следует обновлять первыми, а пакеты дистрибутивов Linux и хостинг-провайдеров — проверить на наличие бэкпортированных исправлений.
Для систем на неподдерживаемых ветках варианты ограничены обновлением, отключением от интернета либо размещением за VPN или межсетевым экраном веб-приложений. CERT-EU советует при невозможности немедленного патчинга изолировать интернет-доступные приложения от публичных сетей до появления исправления.
Также стоит отслеживать дочерние процессы php-fpm, php-cgi, httpd и apache2: насторожить должны запуск оболочек, интерпретаторов или инструментов загрузки. При подозрении на компрометацию сервер нужно изолировать, сохранить журналы веб-сервера и PHP, а затем проверить веб-шеллы, новые файлы в корне сайта, задания cron, планировщик и учётные записи. Для бизнеса практический приоритет — подготовить обновление поддерживаемых веток и снизить внешний доступ к устаревшим установкам до раскрытия технических условий атаки.