Закроем дыру на вашем сайте, пока ею не воспользовались

Две критические уязвимости в PHP, как сообщает РБК, нашли с помощью искусственного интеллекта; независимо их выявила и компания Wiz. По данным W3Techs, на PHP работают 90,8% сайтов с русскоязычным контентом и 69,3% сайтов в мире. PHP встроен в такие CMS, как WordPress, Drupal, Joomla, Magento и «1С-Битрикс».

21 октября разработчики PHP выпустили обновления 8.5.12, 8.4.27, 8.3.36 и 8.2.35 и призвали обновиться «прямо сейчас». Киберподразделение ФБР предупредило, что уязвимости позволяют удалённо запускать код на сервере, из-за чего растёт риск утечки конфиденциальных данных. По словам эксперта «Гарды» Луки Сафонова, среди них могут оказаться пароли, токены сессий, ключи доступа и сертификаты из соседних запросов.

Технический директор Cloudflare в тот же день сообщил о первых признаках атак, а гендиректор компании в ночь на 22 октября по Москве — о «миллионах» попыток эксплуатации после публичного заявления об ошибках. Обновить PHP или, если быстро не получается, временно отключить сайты призвали власти и специалисты по кибербезопасности, в частности Агентство национальной безопасности США.

Лука Сафонов («Гарда»): уязвим сам язык PHP, а не какая-то конкретная программа, поэтому обновление WordPress, Drupal, Joomla или другой CMS проблему не решает — менять нужно именно PHP. Опрошенные РБК эксперты отметили, что устранить уязвимости могут только владельцы сайтов и хостинг-провайдеры.

Источник: РБК

21 октября 2026 года разработчики PHP внепланово выпустили обновления 8.2.35, 8.3.36, 8.4.27 и 8.5.12. Они закрывают две критические уязвимости в ядре языка, CVE-2026-109618 и CVE-2026-109619, вместе их называют PHP2Shell. Каждая оценена в 9,2 по шкале CVSS 4.0.

В обеих подтверждено удалённое выполнение кода без авторизации. Для CVE-2026-109618 полная атака подтверждена против mod_php, а PHP-FPM считается уязвимым, хотя полного эксплойта под него не показали. Для CVE-2026-109619 выполнение кода подтверждено и против PHP-FPM, через сценарий с сессиями. В векторе CVSS указана высокая сложность атаки (AC:H).

Полноценная защита — только обновление PHP и перезапуск всех воркеров (php-fpm, Apache); временные настройки лишь сужают поверхность атаки. Ветки до 8.1 включительно официально не поддерживаются, исправлений для них от PHP не будет. Команда php -v может показывать не ту версию, которая обслуживает сайт, а дистрибутивы (Debian, Ubuntu, RHEL) часто переносят исправления, не меняя номер версии, поэтому смотрите changelog пакета.

Источник: Хабр