Разработчики PHP готовят экстренные исправления двух критических уязвимостей
Изображение: OpenAI
Разработчики PHP планируют выпустить экстренные исправления двух критических уязвимостей 21 октября в 14:00 UTC после сообщений об утечке информации о них до официального раскрытия. Команда оценила каждую в 9,2 балла по CVSS v4.0 и призвала администраторов установить обновления сразу после выхода. На PHP работают многие сайты и веб-приложения, в том числе системы управления контентом и платформы электронной коммерции.
Исследователи информационной безопасности из компании watchTowr сообщили BleepingComputer, что речь идёт об уязвимостях удалённого выполнения кода CVE-2026-109618 и CVE-2026-109619, а глава компании подтвердил, что они реальны. По их оценке, уязвимости могут затрагивать PHP версий с 5-й по 8-ю.
При этом watchTowr оценивает обе уязвимости в 10,0 балла и утверждает, что первоначально раскрыть их планировали 22 октября.
В watchTowr полагают, что смогли воспроизвести CVE-2026-109618, но не публикуют технические сведения до выхода исправлений. Несмотря на сообщения об утечке информации, исследователи не наблюдали использования этих уязвимостей в реальных атаках.
Разработчики PHP пока не подтвердили, какие версии затронуты. Технические подробности и номера исправленных выпусков они обещают опубликовать вместе с обновлениями. Исправления могут выйти раньше, если сведения об уязвимостях станут общедоступными или появятся признаки реальных атак.
