Разработчики PHP предупредили о двух критических уязвимостях

Команда безопасности PHP объявила о срочном выпуске исправлений для двух критических уязвимостей. Обновление выйдет 21 октября в 17:00 по московскому времени.

Обе уязвимости получили 9,2 балла из 10 по шкале CVSS 4.0 (общая система оценки уязвимостей). Затронутые версии, исправленные сборки и технические подробности разработчики раскроют вместе с выпуском. Пользователям PHP рекомендуют заранее подготовиться к обновлению.

Команда оставила за собой право выпустить исправления раньше срока, если подробности уязвимостей станут публичными или появятся признаки их использования в реальных атаках.

Объявление появилось после утечки неподтверждённых сведений, пишет Ars Technica. В сети опубликовали видео, на котором инструмент PHP2Shell, как утверждается, выполняет произвольный код на сайтах с WordPress, MediaWiki, phpBB, Magento, Joomla, Laravel, Drupal и другими платформами на PHP.

По данным ИБ-компании watchTowr, уязвимостям присвоены идентификаторы CVE-2026-109618 и CVE-2026-109619, обе позволяют удалённо выполнить код. Непроверенный отчёт утверждает, что проблема затрагивает все версии языка начиная с PHP 5, выпущенного в 2004 году. Официально это не подтверждено, о случаях эксплуатации на 21 октября не сообщалось.