Проект PHP 21 октября выпустил экстренные обновления, закрывающие две критические уязвимости. При определённых условиях они позволяют без авторизации выполнить код на сервере. BI.ZONE зафиксировала первые попытки эксплуатации ещё до выхода исправлений, а Cloudflare сообщила о быстром росте вредоносного трафика после публикации данных об ошибках.
Исправления вошли в PHP 8.5.12, 8.4.27, 8.3.36 и 8.2.35. Для PHP 8.1 и более старых веток регулярные обновления больше не выпускаются: их пользователям нужно перейти на поддерживаемую версию или установить пакет с исправлением от поставщика дистрибутива либо сервиса долгосрочной поддержки.
Уязвимости CVE-2026-109618 и CVE-2026-109619 связаны с обработкой памяти при сбоях запросов. Специально подготовленный HTTP-запрос может привести к остановке процесса, раскрытию данных или выполнению команд на сервере. Ошибки находятся в среде PHP, поэтому обновления сайта, плагинов или системы управления контентом недостаточно.
По предварительной оценке BI.ZONE, в российском сегменте интернета находится около 50 тыс. потенциально уязвимых веб-приложений. Фильтры веб-трафика снижают риск, однако атакующие уже меняют запросы, пытаясь обойти защитные правила, сообщили BI.ZONE и Cloudflare.
Британский Национальный центр кибербезопасности рекомендовал обновить PHP, а если установить исправление или применить временные меры невозможно либо это займёт слишком много времени, рассмотреть временное отключение системы. В качестве меры предосторожности сайты временно отключали муниципалитеты Оксфорда и Эдинбурга, а также отдельные государственные организации в Европе.