В PHP обнаружены уязвимости CVE-2026-109618 и CVE-2026-109619. Каждая получила оценку критичности 9,2 из 10 по CVSS v4.0. Уязвимости удалённого выполнения кода (RCE).
Новый релиз запланирован сегодня на 17:00 по MSK. Специалисты прогнозируют начало автоматизированной эксплуатации уже в первые 15 минут после публикации исправлений.
Единственный способ защититься — обновить PHP.
Официальный перечень затронутых версий PHP пока отсутствует, однако по оценке исследователей проблема может затрагивать версии PHP начиная с ветки PHP 5, выпущенной в 2004 году (с 5.4 по 8.5.4). Масштаб угрозы колоссальный.
Говорят, что уже есть эксплойт PHP2Shell и Cloudflare фиксирует первые атаки.
До выхода исправлений специалисты предлагают временно отключить session.upload_progress.enabled, установив значение Off в конфигурации PHP. Но это не панацея, мера не закрывает все пути использования уязвимости.
https://techora.ru/news/razrabotchik-php-prizval-srochno-obnovit-iz-2026-10-21
