PHP випустить екстрені оновлення для усунення двох критичних вразливостей

Команда розробників PHP попередила адміністраторів про екстрені оновлення безпеки, які планує випустити 21 жовтня о 14:00 UTC. Вони мають усунути дві критичні вразливості, кожну з яких команда PHP оцінила у 9,2 бала за шкалою CVSS v4.0.

Як повідомляє BleepingComputer, розробники закликали адміністраторів підготуватися до встановлення оновлень одразу після їхньої появи. Команда PHP також залишила за собою право випустити патчі раніше, якщо деталі однієї з уразливостей стануть публічними або з’являться ознаки їхньої експлуатації.

Деталі вразливостей

Офіційні технічні подробиці ще не оприлюднили. Зокрема, команда PHP поки не назвала версії програмного забезпечення, яких стосуються проблеми, способи їх експлуатації та релізи, що отримають виправлення.

Дослідники компанії watchTowr повідомили виданню, що йдеться про вразливості віддаленого виконання коду, відстежувані під ідентифікаторами CVE-2026-109618 та CVE-2026-109619. За їхніми словами, проблеми можуть впливати на PHP версій 5, 6, 7 і 8. Генеральний директор watchTowr Бенджамін Гарріс заявив, що інформація про дві уразливості, які раніше перебували під ембарго, потрапила у відкритий доступ.

Різні оцінки та відсутність даних про атаки

У watchTowr стверджують, що обидві вразливості мають максимальну оцінку 10,0 за CVSS, тоді як офіційне повідомлення PHP визначає для кожної оцінку 9,2 за CVSS v4.0. Дослідники також заявили, що відтворили CVE-2026-109618, але не розкриватимуть технічних деталей до виходу виправлень.

За даними watchTowr, ознак використання цих уразливостей у реальних атаках наразі не зафіксовано. Раніше видалений допис на Hacker News також містив ідентифікатори CVE-2026-109618 і CVE-2026-109619 та твердження про вплив на версії PHP, починаючи з PHP 5. Повні відомості про уразливості, уражені версії та виправлені релізи команда PHP планує опублікувати разом з оновленнями.