PHP Foundation випустила екстрені оновлення через дві критичні вразливості

PHP Foundation випустила екстрені оновлення безпеки для усунення двох критичних вразливостей у мові програмування PHP, які можуть дозволити зловмисникам віддалено керувати ураженими системами. Як повідомляє Wired, проблеми мають ідентифікатори CVE-2026-109618 та CVE-2026-109619 і стосуються всіх інсталяцій PHP, що обробляють вебзапити, починаючи з PHP 5.

Підтримуваними нині є лише версії PHP 8.2 і новіші, для яких випускають патчі. Водночас окремі дистрибутиви PHP та сторонні постачальники можуть готувати виправлення для застарілих версій. У PHP Foundation наголосили, що повних альтернативних способів захисту немає, а безпечним рішенням є оновлення.

Ризик віддаленого виконання коду

За даними Wiz, уразливості можуть дати неавторизованим атакувальникам змогу виконувати код на серверах або читати чутливу пам’ять процесів. У такій пам’яті можуть міститися паролі, токени автентифікації, ключі API та сертифікати. Дослідники Wiz заявили, що частково виявили проблеми за допомогою інструментів штучного інтелекту; OpenAI і компанія Calif також повідомили про незалежне виявлення цих вразливостей і співпрацю.

Компанія Cloudflare заявила, що фіксувала перші атаки ще до публікації технічних деталей і випуску виправлень. Консультант із кібербезпеки Лукаш Олейнік попередив, що мільйони систем можуть зазнати впливу, особливо якщо зловмисники швидко почнуть експлуатацію. Він також не виключив найгіршого сценарію з поширенням шкідливого програмного забезпечення, здатного самостійно розповсюджуватися.

Сайти тимчасово відключали

До появи оновлених версій PHP деякі організації превентивно відключали сайти. За повідомленнями Reuters, недоступними були кілька сайтів уряду Фінляндії, зокрема Національної земельної служби, а також французькі урядові сайти й сайт порту Роттердам.

PHP Foundation 20 жовтня заздалегідь попередила про майбутній випуск виправлень, не розкриваючи деталей. Обидві вразливості оцінили у 9,2 бала з 10 за шкалою CVSS. CERT ЄС, австралійська агенція з кібербезпеки та Національний центр кібербезпеки Великої Британії закликали ІТ-команди негайно готуватися до оновлення, а за неможливості швидкого усунення проблеми — розглянути відключення систем від мережі.