Команда PHP объявила о двух серьёзных уязвимостях, которые исправят экстренными патчами. Исследователи уже подтвердили существование багов, в сети циркулирует видео с демонстрацией эксплуата PHP2Shell.
Патчи выйдут 21 октября в 17:00 по московскому времени. Обе уязвимости оценены в 9,2 балла по CVSS. PHP-команда предупреждает, что обновления могут выйти раньше, если детали уязвимостей попадут в открытый доступ или обнаружатся признаки их эксплуатации.
Пока не известно, какие версии PHP уязвимы и какие релизы получат исправления. Детали механизма атак тоже не раскрыты.
По информации исследователей watchTowr, речь идёт о двух RCE-уязвимостях (CVE-2026-109618 и CVE-2026-109619), которые затрагивают PHP 5, 6, 7 и 8. Глава watchTowr Бенджамин Харрис указывает, что критичность этих багов достигает 10 баллов CVSS — максимального значения. Специалисты компании смогли воспроизвести CVE-2026-109618, но не опубликуют технические подробности до выхода патчей.
ИБ-исследователь Кирилл Фирсов опубликовал видео эксплуата PHP2Shell авторства lcfr_hax и calif_io. На записи показана успешная эксплуатация на серверах с WordPress, MediaWiki, phpBB, Magento, Joomla, Laravel, Symfony, Drupal и WHMCS.
Компания Sansec ожидает, что массовые атаки начнутся в первые 15 минут после выхода патчей. Wordfence и Huntress тоже выпустили предупреждения о PHP2Shell.
Администраторам рекомендуют составить реестр PHP-приложений и серверов, создать резервные копии сайтов и баз данных, а также запланировать обновление сразу после релиза патчей.
