Що сталося

21 жовтня 2026 року команда PHP випустила екстрене оновлення безпеки. Причина — витік деталей двох критичних вразливостей, CVE-2026-109618 та CVE-2026-109619, напередодні запланованого релізу. Обидві отримали оцінку 9.2 з 10 за шкалою CVSS.

Суть загрози

Це класичний Unauthenticated Remote Code Execution: для атаки не потрібні паролі, куки чи права адміністратора. Достатньо надіслати спеціально сформований запит, щоб виконати довільний скрипт, розгорнути шел, майнер або злити базу даних.

Хто в зоні ризику

Під ударом усі інсталяції PHP, що обробляють вебзапити: зв'язки з Apache (mod_php), PHP-FPM, php-cgi, LiteSpeed та FrankenPHP. Потенційний масштаб охоплює від блогів на WordPress до великих e-commerce проєктів.

Експлойт уже в мережі

За даними аналітиків Cloudflare, вразливість уже експлуатується «в дикій природі», а в даркнеті поширюються автоматизовані скрипти масового сканування. Вікна на спокійне тестування апдейтів більше немає.

Що робити зараз

Необхідно негайно оновитися до безпечних релизів: PHP 8.5.12, 8.4.27, 8.3.36 та 8.2.35. Власникам застарілих версій (PHP 8.1 і нижче), для яких патчі не передбачені, доведеться екстрено оновлювати стек або закривати додатки суворими правилами WAF на рівні CDN до завершення міграції.