PHP випустить екстрені патчі для двох RCE-уразливостей
Команда PHP попередила про два критичні баги з рейтингом 9,2/10 і готує термінові оновлення безпеки. Адміністраторам радять бути готовими встановити патчі одразу після виходу.
Команда безпеки PHP оголосила про термінові оновлення для двох критичних уразливостей і закликала адміністраторів підготуватися до негайного встановлення патчів щойно вони з’являться.
Що відомо про уразливості
За даними команди PHP, обидві уразливості мають оцінку 9,2 за CVSS v4.0. Розробники попереджають, що можуть випустити патчі раніше запланованого терміну, якщо з’являться публічні деталі або ознаки активної експлуатації.
Дослідники watchTowr повідомили, що уразливості отримали ідентифікатори CVE-2026-109618 та CVE-2026-109619, є віддаленим виконанням коду (RCE) і, ймовірно, впливають на PHP версій 5, 6, 7 та 8. Компанія заявляє, що підтвердила реальність обох проблем і відтворила одну з них, але технічні деталі не розголошує до виходу виправлень.
Витік інформації та «PHP2Shell»
Оголошення з’явилося після повідомлень про витік відомостей про баги до планового розкриття. Ars Technica зазначає, що в мережі поширювали відео з інструментом експлуатації під назвою PHP2Shell, який нібито виконував код на вебсерверах із WordPress 7.1.3, MediaWiki 1.46.2, phpBB 3.3.17, Magento 2.4.9, Joomla 6.2.0, Laravel 13.36.0, Laravel 8.83.29, Symphony 8.1.9, Drupal 11.4.10 та WHMCS 9.0.9.
Водночас watchTowr підкреслює, що не зафіксувала експлуатації «в дикій природі», попри появу інформації про баги до офіційного розкриття.
Розбіжності в деталях
Позиції джерел трохи різняться. WatchTowr та публікація на Hacker News (згодом видалена) стверджували про CVSS 10, тоді як офіційна команда PHP оцінила кожну уразливість у 9,2 за CVSS v4.0. Також дослідники говорять про вплив на PHP 5–8, тоді як команда PHP поки не уточнює конкретні версії та релізи з виправленнями.
Що робити адміністраторам
- Підготувати середовища до термінового встановлення оновлень у момент релізу.
- Стежити за оголошеннями команди PHP, де водночас оприлюднять технічні деталі, перелік уражених версій і доступних виправлень.
- Обмежити поверхню атаки: мінімізувати доступи, посилити моніторинг журналів, застосувати WAF-правила до виходу патчів.
