Команда безопасности PHP официально анонсировала внеплановый выпуск критического обновления… Релиз направлен на устранение двух серьезных уязвимостей, каждая из которых получила оценку 9.2 по шкале CVSS v4.0.
Согласно данным исследователей, речь идет об уязвимостях удаленного выполнения кода, условно обозначаемых как php2shell (CVE-2026-109618 и CVE-2026-109619). Эксплуатация этих ошибок позволяет злоумышленникам получить полный контроль над сервером, на котором работает уязвимый интерпретатор. Примечательно, что проблема носит системный характер и затрагивает все веб-серверы, использующие PHP версии 5.4 и новее.
Для нейтрализации угрозы разработчики настоятельно рекомендуют администраторам инфраструктуры немедленно обновить программное обеспечение до актуальных защищенных версий. Критические исправления включены в релизы 8.5.12, 8.4.27, 8.3.36 и 8.2.35. Пользователи более старых веток, находящихся за пределами цикла активной поддержки, должны рассмотреть возможность срочной миграции на поддерживаемые версии или применения временных обходных решений на уровне конфигурации веб-сервера.
Поскольку PHP является фундаментом для большинства современных систем управления контентом, включая WordPress, Joomla и Drupal, масштаб потенциального ущерба оценивается как глобальный. Крупные хостинг-провайдеры и команды разработки популярных CMS уже начали превентивное развертывание патчей в своих инфраструктурах.
Полный технический отчет с детальным описанием векторов атаки и инструкциями по проверке систем на предмет возможной компрометации уже опубликован на официальном сайте проекта. Специалистам по информационной безопасности рекомендуется в приоритетном порядке проверить конфигурации своих серверов и убедиться в успешном применении обновлений, так как риск появления автоматизированных скриптов для эксплуатации данных уязвимостей в ближайшие дни будет стремительно расти.
