PHP готовит экстренные патчи: две критические уязвимости утекли до официального раскрытия

Команда безопасности PHP предупредила администраторов о готовящихся экстренных обновлениях, которые должны устранить две критические уязвимости. Поводом для спешки стала утечка: сведения о брешах разошлись раньше запланированного раскрытия.

PHP лежит в основе огромного числа сайтов и веб-приложений — от систем управления контентом и платформ электронной коммерции до заказных сервисов, поэтому любая серьёзная уязвимость затрагивает значительную часть интернета.

Что известно

В опубликованном во вторник уведомлении разработчики сообщили, что выпустят обновления в среду, 21 октября, в 14:00 UTC. Каждой из двух уязвимостей присвоена оценка 9,2 по шкале CVSS v4.0. Аналогичное предупреждение было разослано по списку рассылки ANNOUNCE с просьбой установить патчи сразу после их появления.

«Мы оставляем за собой право выпустить обновления раньше, если детали любой из уязвимостей станут публичными или появятся признаки активной эксплуатации», — отметила команда.

Технических подробностей разработчики пока не раскрывают: ни затронутые версии, ни способы эксплуатации, ни то, в каких релизах появятся исправления.

Детали от исследователей

Специалисты watchTowr сообщили BleepingComputer, что речь идёт об уязвимостях удалённого выполнения кода, получивших идентификаторы CVE-2026-109618 и CVE-2026-109619. По их данным, бреши затрагивают PHP версий 5, 6, 7 и 8.

Глава watchTowr Бенджамин Харрис подтвердил, что уязвимости реальны, а компания, по его словам, успешно воспроизвела CVE-2026-109618, однако технических деталей не публикует до выхода патчей. Признаков эксплуатации в дикой природе исследователи не наблюдали, несмотря на утечку.

Утечка, судя по всему, началась с уже удалённого сообщения на форуме Hacker News. Пользователь под ником «petecooper» заявил, что две критические RCE-уязвимости будут раскрыты 22 октября; он назвал те же идентификаторы, что позже привела watchTowr.

Расхождения

Заявления watchTowr и пост на Hacker News расходятся с официальным уведомлением PHP. И исследователи, и анонимный пользователь оценивали бреши в 10,0 по CVSS, тогда как сама команда PHP присвоила каждой 9,2. Кроме того, в утечке фигурировала дата раскрытия в четверг, а официальный релиз назначен на среду.

Полные технические подробности, список затронутых версий и исправленные релизы PHP обещает опубликовать вместе с выходом обновлений.

Источник: Bleeping Computer