Команда безопасности PHP призвала администраторов подготовиться к установке экстренных обновлений сегодня, 21 октября. Они устранят две критические уязвимости PHP2Shell, сведения о которых, по имеющимся данным, стали известны до запланированного раскрытия.
Уведомление команды безопасности PHP о выпуске исправлений на сайте php.net. Изображение: Comss.ru
PHP используется во множестве сайтов и веб-приложений, включая системы управления контентом, платформы электронной коммерции и веб-сервисы собственной разработки.
В уведомлении, опубликованном во вторник, 20 октября, команда разработчиков PHP объявила, что планирует выпустить обновления безопасности в среду, 21 октября, в 14:00 UTC (17:00 по московскому времени). Они устранят две уязвимости, каждая из которых получила оценку 9,2 балла по CVSS v4.0.
Команда безопасности PHP также отправила уведомление в список рассылки ANNOUNCE и призвала администраторов подготовиться к установке обновлений сразу после их выхода.
Команда безопасности PHP предупредила:
Мы оставляем за собой право выпустить обновления раньше, если подробности любой из уязвимостей станут общедоступными или появятся свидетельства их эксплуатации в реальных атаках.
Разработчики пока не раскрыли технические подробности: какие версии PHP затронуты, как можно эксплуатировать уязвимости и в каких выпусках появятся исправления.
Что известно об уязвимостях
Однако специалисты по безопасности из watchTowr сообщили изданию BleepingComputer, что уязвимости с идентификаторами CVE-2026-109618 и CVE-2026-109619 позволяют удаленно выполнять код (RCE) и, предположительно, затрагивают PHP версий 5, 6, 7 и 8.
Генеральный директор watchTowr Benjamin Harris сообщил:
За последний час произошла утечка сведений о двух уязвимостях удаленного выполнения кода в PHP. Информация о них находилась под эмбарго, а ее раскрытие было запланировано на четверг, 11:00 по восточному времени США (18:00 по Москве – прим. ред.).
По понятным причинам, учитывая чувствительность этих сведений, мы пока не можем поделиться техническими подробностями. Но мы можем подтвердить, что эти уязвимости действительно существуют. Обе получили по 10 баллов по CVSS и, по имеющимся сведениям, затрагивают PHP версий 5, 6, 7 и 8.
В watchTowr заявили, что им удалось воспроизвести CVE-2026-109618. Компания не будет публиковать технические подробности до выхода исправлений безопасности.
Исследователи уточнили, что не наблюдали эксплуатации этих уязвимостей в реальных атаках, несмотря на сообщения об утечке сведений до запланированного раскрытия.
Утечка до раскрытия
В публикации в X watchTowr предупредила, что информация об уязвимостях стала известна раньше первоначально намеченной даты.
Исследователи заявили:
Мы все должны были ждать до четверга, 11:00 по восточному времени США. Произошла утечка сведений об уязвимостях нулевого дня в PHP, которые позволяют удаленно выполнять код и информация о которых находилась под эмбарго. Мы можем подтвердить, что они действительно существуют.
Предупреждение появилось после публикации на форуме Hacker News, принадлежащем Y Combinator. Впоследствии удаленный пост пользователя petecooper содержал утверждение, что 22 октября будут раскрыты две критические уязвимости удаленного выполнения кода в PHP.
В публикации, которую успели увидеть в BleepingComputer, утверждалось, что обе уязвимости получили по 10,0 балла по CVSS и затрагивают версии начиная с PHP 5. В ней также были указаны идентификаторы CVE-2026-109618 и CVE-2026-109619 – те же, которые позднее назвала watchTowr.
Расхождения с официальным объявлением
Заявления watchTowr и сведения из публикации на Hacker News расходятся с официальным объявлением PHP. В обоих случаях уязвимостям приписывали оценку 10,0 балла по CVSS, тогда как команда безопасности PHP оценила каждую в 9,2 балла по CVSS v4.0.
Кроме того, watchTowr сообщила, что первоначально раскрытие планировалось на четверг, 22 октября, тогда как PHP официально назначила выпуск обновлений безопасности на среду, 21 октября.
Команда безопасности PHP сообщила, что опубликует полные технические подробности, перечень затронутых версий и выпуски с исправлениями одновременно с выходом обновлений.
