PHP готує два критичні оновлення безпеки

Розробники PHP повідомили про підготовку двох оновлень безпеки для вразливостей із оцінкою 9,2 бала з 10. Користувачам мови програмування порадили заздалегідь підготуватися до встановлення виправлень одразу після їхнього виходу, повідомляє Ars Technica.

Попередження для адміністраторів

У повідомленні розробників зазначено, що реліз можуть випустити раніше, якщо деталі однієї з проблем стануть публічними або з’являться докази активної експлуатації. Адміністраторам радять визначити відповідальних за PHP у своїх організаціях, провести інвентаризацію застосунків на цій мові та запланувати технічне вікно, орієнтуючись на 14:00 UTC. Також рекомендують створити резервні копії файлів сайтів і баз даних та стежити за оголошеннями на PHP.net.

Непідтверджені дані про експлойт

Попередження з’явилося після витоку непідтверджених відомостей про інструмент під назвою PHP2Shell, який нібито дозволяє віддалено виконувати код на вебсерверах. У відео, на яке посилається видання, продемонстровано роботу інструмента на сайтах із WordPress, MediaWiki, phpBB, Magento, Joomla, Laravel, Symfony, Drupal і WHMCS.

Компанія watchTowr заявила, що витік стосується всіх версій PHP, починаючи з PHP 5, яка вийшла 2004 року, та підтвердила реальність вразливостей, що відстежуються як CVE-2026-109618 і CVE-2026-109619. Дослідники Sansec очікують початку масових атак протягом 15 хвилин після виходу виправлень. Інші компанії з кібербезпеки — Webfence і Huntress — також закликали адміністраторів підготуватися до оновлення.

За оцінкою одного дослідника з безпеки, потенційно вразливими можуть бути близько 1,3 мільйона підключених до інтернету хостів. Частина експертів рекомендує тимчасово відключити несуттєві системи до встановлення патчів.