--- title: "Красный код для половины интернета: экстренные патчи PHP закрывают критические RCE-уязвимости" description: "21 октября 2026 года команда PHP экстренно выпустила патчи против двух критических RCE-уязвимостей (CVE-2026-109618 и CVE-2026-109619), детали которых утекли до релиза. Эксплойт уже эксплуатируется в сети." date: 2026-10-21T15:19:11.674Z lang: ru url: https://xab.info/posts/php-rce-critical-vulnerability-emergency-patch tags: [php, cybersecurity, rce-vulnerability, web-security, cloudflare] author: "Александр Буран, Роман В." publisher: "XAB.info" --- # Красный код для половины интернета: экстренные патчи PHP закрывают критические RCE-уязвимости ![Экстренное обновление безопасности PHP для закрытия критических уязвимостей](https://xab.info/media/2026/10/21/php-rce-critical-vulnerability-emergency-patch/php-rce-critical-vulnerability-emergency-patch-1.webp) ## Ключевые тезисы - Команда PHP экстренно выпустила патчи против двух критических RCE-уязвимостей с оценкой CVSS 9.2. - Утечка деталей эксплойта до релиза привела к массовым попыткам взлома, которые фиксируют сканеры. - Безопасные релизы: PHP 8.5.12, 8.4.27, 8.3.36, 8.2.35; для версий 8.1 и ниже патчи не предусмотрены. ### Что произошло 21 октября 2026 года команда PHP выпустила экстренное обновление безопасности. Причина — утечка деталей двух критических уязвимостей, CVE-2026-109618 и CVE-2026-109619, накануне запланированного релиза. Обе получили оценку 9.2 из 10 по шкале CVSS. ### Суть угрозы Это классический Unauthenticated Remote Code Execution: для атаки не нужны пароли, куки или права администратора. Достаточно отправить специально сформированный запрос, чтобы выполнить произвольный скрипт, развернуть шелл, майнер или слить базу данных. ### Кто в зоне риска Под ударом все инсталляции PHP, обрабатывающие веб-запросы: связки с Apache (mod_php), PHP-FPM, php-cgi, LiteSpeed и FrankenPHP. Потенциальный масштаб охватывает от блогов на WordPress до крупных e-commerce проектов. ### Эксплойт уже в сети По данным аналитиков Cloudflare, уязвимость уже эксплуатируется «в дикой природе», а в даркнете распространяются автоматизированные скрипты массового сканирования. Окна на спокойное тестирование апдейтов больше нет. ### Что делать сейчас Необходимо немедленно обновиться до безопасных релизов: PHP 8.5.12, 8.4.27, 8.3.36 и 8.2.35. Владельцам устаревших версий (PHP 8.1 и ниже), для которых патчи не предусмотрены, придется экстренно обновлять стек или закрывать приложения строгими правилами WAF на уровне CDN до завершения миграции. ## Проверка фактов и источники - [Ручное создание украшений ручной работы в ремесленной мастерской - Сток картинки...](https://www.istockphoto.com/ru/%D1%84%D0%BE%D1%82%D0%BE/%D1%80%D1%83%D1%87%D0%BD%D0%BE%D0%B5-%D1%81%D0%BE%D0%B7%D0%B4%D0%B0%D0%BD%D0%B8%D0%B5-%D1%83%D0%BA%D1%80%D0%B0%D1%88%D0%B5%D0%BD%D0%B8%D0%B9-%D1%80%D1%83%D1%87%D0%BD%D0%BE%D0%B9-%D1%80%D0%B0%D0%B1%D0%BE%D1%82%D1%8B-%D0%B2-%D1%80%D0%B5%D0%BC%D0%B5%D1%81%D0%BB%D0%B5%D0%BD%D0%BD%D0%BE%D0%B9-%D0%BC%D0%B0%D1%81%D1%82%D0%B5%D1%80%D1%81%D0%BA%D0%BE%D0%B9-gm2205737329-623110976) - Сток-изображение, не содержит информации об уязвимостях PHP. - [Рабочим является производство динамиков и громкоговорителей на заводе. Ручное создание ...](https://www.istockphoto.com/ru/%D1%84%D0%BE%D1%82%D0%BE/%D1%80%D0%B0%D0%B1%D0%BE%D1%87%D0%B8%D0%BC-%D1%8F%D0%B2%D0%BB%D1%8F%D0%B5%D1%82%D1%81%D1%8F-%D0%BF%D1%80%D0%BE%D0%B8%D0%B7%D0%B2%D0%BE%D0%B4%D1%81%D1%82%D0%B2%D0%BE-%D0%B4%D0%B8%D0%BD%D0%B0%D0%BC%D0%B8%D0%BA%D0%BE%D0%B2-%D0%B8-%D0%B3%D1%80%D0%BE%D0%BC%D0%BA%D0%BE%D0%B3%D0%BE%D0%B2%D0%BE%D1%80%D0%B8%D1%82%D0%B5%D0%BB%D0%B5%D0%B9-%D0%BD%D0%B0-%D0%B7%D0%B0%D0%B2%D0%BE%D0%B4%D0%B5-%D1%80%D1%83%D1%87%D0%BD%D0%BE%D0%B5-%D1%81%D0%BE%D0%B7%D0%B4%D0%B0%D0%BD%D0%B8%D0%B5-gm1388741372-446283498) - Сток-изображение, не содержит информации об уязвимостях PHP. ## Частые вопросы ### Какие версии PHP закрыли уязвимости? Безопасными объявлены релизы PHP 8.5.12, 8.4.27, 8.3.36 и 8.2.35. ### Что делать владельцам PHP 8.1 и ниже? Для этих версий патчи не предусмотрены: необходимо экстренно обновлять стек или закрывать приложения строгими правилами WAF на уровне CDN до завершения миграции. ### Насколько опасны эти уязвимости? Обе получили оценку 9.2 из 10 по шкале CVSS и позволяют выполнить произвольный код без аутентификации.