Две критические уязвимости PHP угрожают серверам по всему миру: что известно

Разработчики PHP выпустили срочные обновления, устраняющие две критические уязвимости, которые позволяют злоумышленникам удалённо выполнять произвольный код на серверах. Ошибки получили идентификаторы CVE-2026-109618 и CVE-2026-109619, а их опасность оценили в 9,2 балла из 10 по шкале CVSS 4.0. Пользователям настоятельно рекомендуют как можно скорее установить исправления.

Исправления вошли в версии PHP 8.5.12, 8.4.27, 8.3.36 и 8.2.35. Обновлённые пакеты также должны предоставлять поставщики Linux-дистрибутивов и долгосрочно поддерживаемых программных платформ. Ветки PHP 8.1 и старше больше не получают обычных обновлений от основного проекта, однако для некоторых из них подготовлены отдельные исправления.

Если установить обновление немедленно невозможно, разработчики предлагают временные меры по снижению риска, но подчёркивают, что они не обеспечивают полной защиты. Информация об уязвимостях появилась на фоне сообщений о временном отключении ряда сайтов в Европе. По опубликованным данным, некоторые государственные и другие организации приостанавливали работу ресурсов в качестве меры предосторожности.

В России потенциальная угроза также может затронуть большое число сайтов: руководитель центра разработки больших языковых моделей MWS AI Валентин Малых заявил РБК, что под угрозой могут оказаться десятки тысяч ресурсов Рунета.

Одну из уязвимостей, по сообщению OpenAI, выявили с помощью модели GPT-5.6 Sol в рамках инициативы Patch the Planet. Компания сообщила, что работала с исследователями, разработчиками и специалистами по кибербезопасности над поиском ошибок и подготовкой защитных мер до раскрытия технических подробностей.

Ранее в сети также появлялись сообщения об инструменте PHP2Shell, который, как утверждалось, позволяет выполнять произвольный код на сайтах, использующих популярные CMS и веб-фреймворки. На фоне новых уязвимостей такие сообщения приобретают дополнительное значение для администраторов.

Главный практический вывод для владельцев сайтов и серверов — не откладывать обновление PHP до версий 8.5.12, 8.4.27, 8.3.36 или 8.2.35, а также проверить наличие патчей у поставщика хостинга или Linux-дистрибутива. Тем, кто использует устаревшие ветки, стоит оценить риски и рассмотреть миграцию на поддерживаемую версию.