PHP выпускает внеплановый патч для двух критических RCE-уязвимостей

PHP выпустит внеплановый релиз безопасности сегодня, 21 октября, в 14:00 UTC. Он закрывает две критические уязвимости, которым команда безопасности проекта присвоила оценку 9.2 по шкале CVSS v4.0, но суть которых пока не раскрывает. По словам исследователей из watchTowr, обе ошибки позволяют удалённое выполнение кода. Случаев эксплуатации на момент публикации не зафиксировано.

Утечка опередила анонс

Предупреждение появилось не само по себе. 20 октября на Hacker News возникла запись о двух RCE-уязвимостях в PHP с оценкой 10.0, якобы затрагивающих все версии начиная с PHP 5, с публикацией 22 октября. Автор поста честно признавал, что у него нет доказательств «кроме „источник: поверьте на слово“». Вскоре watchTowr подтвердили в X, что сведения подлинные, что ошибки находятся под эмбарго и что до четверга никто не должен был ничего говорить. Вечером того же дня, в 19:33 UTC, PHP опубликовал собственное уведомление, назначив релиз на день раньше озвученной даты.

Что известно, а что нет

Утечка принесла сам факт существования уязвимостей, оценку, дату и два идентификатора CVE (CVE-2026-109618 и CVE-2026-109619), но не механизм их работы. Оценка 10.0 — из утечки; официальная оценка PHP составляет 9.2. Название php2shell придумали исследователи, а не сам проект. Утверждение о том, что затронуты все версии начиная с PHP 5, тоже не подтверждено: в собственном FAQ watchTowr отмечают, что этот охват не подтверждён официальным уведомлением вендора.

Кто получит исправление

Патч выйдет только для четырёх поддерживаемых веток: 8.2 и 8.3 получают лишь исправления безопасности, 8.4 и 8.5 находятся в активной поддержке. Всё более старое — 8.1, 8.0, 7.x и 5.x — снято с поддержки и официального патча не получит. Компания Mallory насчитала около 884 000 доступных из интернета хостов, HTTP-баннеры которых сообщали о версии PHP 8.1 или старше — это 59% примерно из 1,5 млн хостов, вообще раскрывавших версию.

Что делать до релиза

Обходного решения PHP не предложил. Рекомендации сводятся к инвентаризации всех установок PHP (включая встроенные в панели вроде cPanel и Plesk), готовности обновиться в 14:00 UTC с приоритетом публичных систем, а для устаревших веток — уводу их из публичной сети за VPN или WAF. Стоит отслеживать подозрительные процессы, которые запускает php-fpm или php-cgi: оболочки, интерпретаторы, загрузчики. Для сравнения, когда в июне 2024 года стала публичной уязвимость CVE-2024-4577, Akamai зафиксировала попытки эксплуатации на своих ловушках в течение суток.

Источник: The Hacker News