Что произошло

21 октября 2026 года команда PHP выпустила экстренное обновление безопасности. Причина — утечка деталей двух критических уязвимостей, CVE-2026-109618 и CVE-2026-109619, накануне запланированного релиза. Обе получили оценку 9.2 из 10 по шкале CVSS.

Суть угрозы

Это классический Unauthenticated Remote Code Execution: для атаки не нужны пароли, куки или права администратора. Достаточно отправить специально сформированный запрос, чтобы выполнить произвольный скрипт, развернуть шелл, майнер или слить базу данных.

Кто в зоне риска

Под ударом все инсталляции PHP, обрабатывающие веб-запросы: связки с Apache (mod_php), PHP-FPM, php-cgi, LiteSpeed и FrankenPHP. Потенциальный масштаб охватывает от блогов на WordPress до крупных e-commerce проектов.

Эксплойт уже в сети

По данным аналитиков Cloudflare, уязвимость уже эксплуатируется «в дикой природе», а в даркнете распространяются автоматизированные скрипты массового сканирования. Окна на спокойное тестирование апдейтов больше нет.

Что делать сейчас

Необходимо немедленно обновиться до безопасных релизов: PHP 8.5.12, 8.4.27, 8.3.36 и 8.2.35. Владельцам устаревших версий (PHP 8.1 и ниже), для которых патчи не предусмотрены, придется экстренно обновлять стек или закрывать приложения строгими правилами WAF на уровне CDN до завершения миграции.