Две критические уязвимости в языке программирования PHP, получившие уровень опасности 9,2 балла по шкале CVSS v4.0, были экстренно обнародованы 20 октября после утечки данных. Разработчики запланировали срочный выпуск защитных патчей, а эксперты предупреждают о рисках удаленного выполнения кода для миллионов веб-ресурсов по всему миру.
Утечка данных раскрыла бреши
Ситуация вокруг безопасности языка PHP обострилась после того, как на форуме Hacker News появился предварительный незапланированный пост. Пользователь заранее сообщил о грядущей публикации информации.
Вместе с этим сообщением в сети распространился снимок экрана атакующего инструмента под названием PHP2Shell. Его интерфейс указывает на совместимость с PHP начиная с версии 5.4.0.
Изначально детали планировалось держать под строгим эмбарго до четверга. Однако предварительное предупреждение было опубликовано уже 20 октября.
Разработчики присвоили обеим уязвимостям 9,2 балла из 10 по шкале CVSS v4.0. Они классифицировали их как критические угрозы.
Специалисты компании по информационной безопасности watchTowr подтвердили реальность обнаруженных проблем. По оценкам исследователей, под удар попали версии интерпретатора с пятой по восьмую.
Идентификаторам CVE-2026-109618 и CVE-2026-109619 присвоен статус уязвимостей, позволяющих проводить удаленное выполнение кода на затронутых серверах.
Угроза для миллионов сайтов
Исследователи оценивают число подключенных к интернету хостов, находящихся под угрозой, более чем в 1,3 миллиона.
По данным WordPress, использующей PHP для работы своей экосистемы, в прошлом году более 40% всех сайтов в сети функционировали на базе этой технологии.
В зону риска также попали такие популярные системы управления контентом и платформы электронной коммерции, как Drupal, MediaWiki, Magento, Shopware и WooCommerce.
Эксперты компании Wordfence отмечают, что исправление уязвимостей потребует ручного вмешательства.
Патч безопасности невозможно развернуть в автоматическом режиме. Владельцам сайтов необходимо самостоятельно выяснять, кто именно отвечает за администрирование PHP на их серверах.
Компания Wordfence предупредила, что все сайты, созданные на базе платформы WordPress, окажутся уязвимыми. Их функционирование зависит от серверных мощностей с установленным PHP.
Экстренные меры защиты
Команда безопасности PHP назначила внеплановый релиз обновлений на 21 октября в 16:00 по итальянскому времени.
PHP Foundation, поддерживающая развитие языка, принялась ускоренно устранять обнаруженные бреши.
Служба кибербезопасности Евросоюза и Национальный центр кибербезопасности Великобритании выпустили официальные рекомендации для администраторов. Специалисты советуют немедленно изолировать уязвимые веб-приложения от публичных сетей или полностью отключить их до завершения обновления, если применить патч мгновенно не представляется возможным.
Amazon Web Services заблаговременно предупредила своих клиентов о рисках. Сервис Cloudflare приступил к развертыванию защитных механизмов на уровне сети.
Разработчик мобильной платформы GrapheneOS временно заблокировал работу своего пользовательского форума, чтобы минимизировать возможные риски эксплуатации уязвимостей злоумышленниками.
Многие интернет-платформы начали принимать превентивные меры. Такие ресурсы, как 4chan, Something Awful, DeviantArt и Fur Affinity, временно прекратили работу или переключились в режим только для чтения.
По теме
