🐘 PHP — критическая уязвимость

В PHP обнаружены уязвимости CVE-2026-109618 и CVE-2026-109619. Каждая получила оценку критичности 9,2 из 10 по CVSS v4.0. Уязвимости удалённого выполнения кода (RCE).

Новый релиз запланирован сегодня на 17:00 по MSK. Специалисты прогнозируют начало автоматизированной эксплуатации уже в первые 15 минут после публикации исправлений.

Единственный способ защититься — обновить PHP. Обновитесь до PHP 8.5.12, 8.4.27, 8.3.36 или 8.2.35.

Официальный перечень затронутых версий PHP пока отсутствует, однако по оценке исследователей проблема может затрагивать версии PHP начиная с ветки PHP 5, выпущенной в 2004 году (с 5.4 по 8.5.4). Масштаб угрозы колоссальный.

Говорят, что уже есть эксплойт PHP2Shell и Cloudflare фиксирует первые атаки.

До выхода исправлений специалисты предлагают временно отключить session.upload_progress.enabled, установив значение Off в конфигурации PHP. Но это не панацея, мера не закрывает все пути использования уязвимости.

https://techora.ru/news/razrabotchik-php-prizval-srochno-obnovit-iz-2026-10-21

https://www.php.net/archive/2026.php#2026-10-20-1

Неподдерживаемые версии

Учитывая тяжесть уязвимостей, команда безопасности PHP опубликовала минимальные обратные порты (source-backports) для сборки из исходного кода.

Официальные патчи доступны в соответствующих ветках репозитория php-src:

• PHP 7.4: https://github.com/php/php-src/tree/PHP-7.4-CVE-2026-109618-109619
• PHP 8.0: https://github.com/php/php-src/tree/PHP-8.0-CVE-2026-109618-109619
• PHP 8.1: https://github.com/php/php-src/tree/PHP-8.1-CVE-2026-109618-109619

Ubuntu выпустили исправления безопасности для старых версий PHP:

https://ubuntu.com/blog/php2shell-vulnerability-fixes-available