PHP Foundation випустила екстрені оновлення через дві критичні вразливості

21.10.2026, 17:38 processer.media

PHP Foundation випустила екстрені оновлення безпеки для усунення двох критичних вразливостей у мові програмування PHP, які можуть дозволити зловмисникам віддалено керувати ураженими системами. Як повідомляє Wired, проблеми мають ідентифікатори CVE-2026-109618 та CVE-2026-109619 і стосуються всіх інсталяцій PHP, що обробляють вебзапити, починаючи з PHP 5.

Підтримуваними нині є лише версії PHP 8.2 і новіші, для яких випускають патчі. Водночас окремі дистрибутиви PHP та сторонні постачальники можуть готувати виправлення для застарілих версій. У PHP Foundation наголосили, що повних альтернативних способів захисту немає, а безпечним рішенням є оновлення.

За даними Wiz, уразливості можуть дати неавторизованим атакувальникам змогу виконувати код на серверах або читати чутливу пам’ять процесів. У такій пам’яті можуть міститися паролі, токени автентифікації, ключі API та сертифікати. Дослідники Wiz заявили, що частково виявили проблеми за допомогою інструментів штучного інтелекту; OpenAI і компанія Calif також повідомили про незалежне виявлення цих вразливостей і співпрацю.

Компанія Cloudflare заявила, що фіксувала перші атаки ще до публікації технічних деталей і випуску виправлень. Консультант із кібербезпеки Лукаш Олейнік попередив, що мільйони систем можуть зазнати впливу, особливо якщо зловмисники швидко почнуть експлуатацію. Він також не виключив найгіршого сценарію з поширенням шкідливого програмного забезпечення, здатного самостійно розповсюджуватися.

До появи оновлених версій PHP деякі організації превентивно відключали сайти. За повідомленнями Reuters, недоступними були кілька сайтів уряду Фінляндії, зокрема Національної земельної служби, а також французькі урядові сайти й сайт порту Роттердам.

PHP Foundation 20 жовтня заздалегідь попередила про майбутній випуск виправлень, не розкриваючи деталей. Обидві вразливості оцінили у 9,2 бала з 10 за шкалою CVSS. CERT ЄС, австралійська агенція з кібербезпеки та Національний центр кібербезпеки Великої Британії закликали ІТ-команди негайно готуватися до оновлення, а за неможливості швидкого усунення проблеми — розглянути відключення систем від мережі.

Читати повністю…