Разработчики PHP предупредили о двух экстренных патчах безопасности, которые выйдут в ближайшие часы
Сопровождающие языка программирования PHP сообщили, что примерно через 12 часов выпустят исправления для двух уязвимостей с оценкой опасности 9,2 из 10. Администраторам сайтов советуют заранее подготовиться к обновлению.
Сопровождающие PHP — языка программирования, на котором работает значительная часть сайтов и веб-приложений, — в понедельник объявили, что чуть более чем через 12 часов выпустят патчи для двух уязвимостей безопасности. Обе получили оценку опасности 9,2 из возможных 10.
«Всем пользователям PHP рекомендуется подготовиться уже сейчас, чтобы обновиться сразу после выхода релиза», — говорится в уведомлении. Разработчики также оговорили, что оставляют за собой право выпустить исправления раньше, если подробности любой из уязвимостей станут публичными или появятся свидетельства их активной эксплуатации.
Что предшествовало уведомлению
Уведомление опубликовали после утечки предполагаемых подробностей об уязвимостях, которые пока не подтверждены. В утёкшем отчёте было видео с инструментом для эксплуатации PHP2Shell, выполняющим код на веб-серверах с программами на базе PHP: WordPress 7.1.3, MediaWiki 1.46.2, phpBB 3.3.17, Magento 2.4.9, Joomla 6.2.0, Laravel 13.36.0, Laravel 8.83.29, Symphony 8.1.9, Drupal 11.4.10 и WHMCS 9.0.9.
Найти сам отчёт не удалось. По словам охранной компании watchTowr, в нём утверждается, что уязвимости затрагивают все версии PHP начиная с PHP 5, выпущенного в 2004 году.
Подтверждение
watchTowr также заявила, что убедилась в реальности обеих уязвимостей. Они зарегистрированы под номерами CVE-2026-109618 и CVE-2026-109619.
