Разработчики PHP выпустили экстренные обновления для устранения двух критических уязвимостей после того, как органы по кибербезопасности предупредили организации о необходимости немедленно установить исправления или вывести подверженные риску приложения из эксплуатации.
PHP 8.5.12, 8.4.27, 8.3.36 и 8.2.35 устраняют CVE-2026-109618 и CVE-2026-109619, которые могут позволить удаленное выполнение кода без аутентификации. Разработчики проекта настоятельно призвали пользователей немедленно обновиться.
По словам разработчиков, потенциально затронуты все установки PHP, обслуживающие веб-запросы, включая развертывания с использованием PHP-FPM, mod_php от Apache, php-cgi, FrankenPHP и LiteSpeed. «Мы считаем, что наибольший риск представляет mod_php, поскольку продемонстрирован эксплойт, при котором неаутентифицированный запрос может инициировать атаку до выполнения какого-либо кода приложения».
Джейк Нотт, руководитель отдела анализа угроз в watchTowr, заявил: «Как и ожидалось, watchTowr Intel уже наблюдает эксплуатацию новейших уязвимостей PHP в реальных условиях, с различными vibecoded PoC, уже достигающими наших датчиков и использующими различные User-Agents типа ‘php2shell’. Хотя до сих пор никому не удалось добиться успеха, мы не ожидаем, что так будет продолжаться долго».
«Там, где немедленное исправление невозможно, организации должны рассмотреть возможность изоляции приложений, доступных из Интернета, от общедоступных сетей до появления исправления», — сообщил CERT-EU в консультативном заключении, выпущенном до выхода исправлений. Организация перечисляет обе уязвимости с оценкой CVSS 9,2.
В качестве меры предосторожности были отключены финские государственные службы и веб-сайты, принадлежащие нидерландскому парламенту, органам по кибербезопасности и регулятору защиты данных. Правозащитная группа noyb также временно отозвала свой веб-сайт.
PHP «обеспечивает работу сайтов WordPress, Drupal, Joomla и Magento, платформ общего хостинга, панелей управления и множества программного обеспечения, которое даже не рекламирует, что работает на PHP под капотом», — отметил поставщик решений в области информационной безопасности Huntress.
Это делает идентификацию подверженных риску установок весьма сложной задачей. «Количество мест, где приходится искать уязвимые версии PHP, очень быстро становится огромным», — сказал Джон Хэммонд, старший ведущий специалист по безопасности Huntress. ®
Всегда имейте в виду, что редакции могут придерживаться предвзятых взглядов в освещении новостей.
Автор – Lindsay Clark
