Все версии PHP за последние 20 лет подвержены риску из-за двух уязвимостей в системе безопасности. Установка обновлений – это единственное эффективное решение этой проблемы.
Среда стала официальной датой обнаружения двух уязвимостей в системе PHP: CVE-2026-109618 и CVE-2026-109619 (обе с рейтингом CVSS 9.2, что означает критическую степень опасности). Эти уязвимости позволяют злоумышленникам удаленно выполнять код. Подвержены риску все версии PHP за последние 20 лет. Уровень сложности для осуществления атаки относительно невысок: как показали примеры использования эксплойтов, разработанные компанией Calif, для выполнения кода на скомпрометированном сервере достаточно всего лишь нескольких десятков тысяч HTTP-запросов за 38 секунд, и для этого не требуется авторизация.
Многие сервисы временно отключили свои веб-сайты и дождались выхода обновлений безопасности. Другого способа обеспечить полную защиту от этих атак не существует. Важно не терять времени: обновления необходимо установить на всех серверах, сетевых хранилищах (NAS) и других подключенных устройствах, использующих веб-интерфейс на основе PHP. Пользователи, самостоятельно собирающие системы, также должны проверить, не используют ли их мини-серверы или устройства Raspberry Pi где-либо PHP.
Только с обновлением – безопасно.
Обновленные пакеты теперь предоставляются всеми крупными дистрибутивами, включая Debian, Ubuntu, Fedora, Red Hat, SUSE, Gentoo и Slackware. Администраторам, использующим собственные Linux-серверы на базе apt или устройства Raspberry Pi, следует как можно скорее открыть командную строку и выполнить команды для обновления.
php -v # Проверить версию sudo apt update # Обновить список пакетов sudo apt upgrade # Обновить установленные пакеты
Затем необходимо перезапустить все службы PHP. Версии PHP 8.5.12, 8.4.27, 8.3.36 и 8.2.35 для приложений, работающих на Windows, macOS и дистрибутивах Linux, также доступны для скачивания непосредственно на сайте php.net.
В случае управляемых сервисов, поставщик должен самостоятельно обеспечивать обновления. Однако, чтобы быть уверенным, не помешает уточнить этот момент. Приложения, работающие в контейнерах Docker с устаревшими версиями PHP, требуют обновленных образов, например, с помощью команд `docker compose pull && docker compose up -d`. Пользователи сетевых хранилищ (NAS) от таких производителей, как QNAP или Synology, могут искать обновления через систему управления программным обеспечением.
Контекст. Фон. Обстоятельства. Предыстория. Обоснование. Причины. Обзор ситуации. Краткое описание. Информация о происхождении. История вопроса.
Проект PHP выпустил обновление 21 октября в 16:00 по центральноевропейскому летнему времени (14:00 UTC) для устранения двух уязвимостей безопасности: CVE-2026-109618 (CVSS 9.2, критическая) и CVE-2026-109619 (CVSS 9.2, критическая). В настоящее время наблюдается множество попыток эксплуатации этих уязвимостей; по данным Reuters, компания Cloudflare сообщает о миллионах подобных попыток.
О том, как именно можно использовать эти уязвимости и что стоит за ними, мы уже подробно рассказали в статье "Критические уязвимости позволяют внедрять код в PHP".
Первоисточник — Heise
Сообщите редакции. Существенные исправления мы отмечаем в материале