← Все новости

Безопасность ·

PHP предупредил о двух критических уязвимостях и назначил экстренные патчиPHP warns of two critical flaws and schedules emergency patches

Команда безопасности PHP 20 октября выпустила предупреждение о двух уязвимостях с оценкой CVSS 9.2 и назначила исправления на следующий день. Подробности утекли раньше срока, а watchTowr подтвердил реальность удалённого выполнения кода.On Oct 20 the PHP security team warned of two flaws rated CVSS 9.2 and scheduled fixes for the next day. Details leaked ahead of time, and watchTowr confirmed the remote code execution is real.

Во вторник, 20 октября, команда безопасности PHP опубликовала необычное предупреждение: исправления для двух критических уязвимостей выйдут 21 октября в 14:00 UTC, а при появлении эксплойтов — раньше.

Что известно

  • Идентификаторы — CVE-2026-109618 и CVE-2026-109619. PHP оценивает каждую в 9.2 по CVSS v4.0; в сети ходит цифра 10.0, но официальная оценка другая.
  • По данным watchTowr, это удалённое выполнение кода, затрагивающее ветки PHP 5, 6, 7 и 8. Исследователи воспроизвели CVE-2026-109618, но технические детали не раскрыли.
  • Поводом для спешки стала утечка: пользователь Hacker News опубликовал (и затем удалил) пост о грядущем раскрытии с утверждением о CVSS 10.0 и затронутых версиях вплоть до PHP 5.
  • На момент предупреждения эксплуатации в дикой природе не наблюдали, а затронутые версии и способ атаки PHP официально не называл.

Что делать

Подготовить окна обслуживания и обновить PHP сразу после выхода патчей. В сообществе обсуждали временные меры — отключить session.upload_progress.enabled в php.ini или блокировать multipart/form-data, — но их эффективность не подтверждена, а последнее ломает формы и загрузку файлов. Разработчик ядра PHP прямо заявил, что надёжных обходных путей нет и единственное решение — официальные исправления.

Дальнейшее развитие истории — патчи, атаки и внесение в каталог CISA KEV — пришлось на следующие дни.

On Tuesday, Oct 20, the PHP security team issued an unusual heads-up: fixes for two critical vulnerabilities would ship on Oct 21 at 14:00 UTC, or earlier if exploitation appeared.

What we know

  • The IDs are CVE-2026-109618 and CVE-2026-109619. PHP rates each 9.2 under CVSS v4.0; a 10.0 figure circulating online is not the official score.
  • According to watchTowr, both are remote code execution bugs affecting PHP 5, 6, 7 and 8. The researchers reproduced CVE-2026-109618 but withheld technical details.
  • The rush was triggered by a leak: a Hacker News user posted (then deleted) a note about the upcoming disclosure claiming CVSS 10.0 and affected versions back to PHP 5.
  • At the time of the warning no in-the-wild exploitation had been seen, and PHP had not officially named affected versions or the attack vector.

What to do

Line up maintenance windows and upgrade PHP as soon as the patches land. Temporary measures were floated — disabling session.upload_progress.enabled in php.ini or blocking multipart/form-data requests — but neither is verified, and the latter breaks forms and uploads. A PHP core developer stated plainly that there are no reliable workarounds and the official fixes are the only real remedy.

The rest of the story — the patches, attacks and the CISA KEV listing — unfolded over the following days.

Источники