Разработчики PHP выпустили экстренные обновления безопасности после обнаружения двух критических уязвимостей, позволяющих удаленно выполнять код на сервере без авторизации. Угроза оказалась настолько серьезной, что государственные учреждения и другие организации в нескольких странах временно отключали свои сайты, пока специалисты устанавливали исправления.
Уязвимости получили идентификаторы CVE-2026-109618 и CVE-2026-109619. Обе оценили в 9,2 балла из 10 по шкале CVSS 4.0. Они затрагивают серверы с уязвимыми версиями PHP — языка программирования, на котором работают многие сайты и веб-приложения.
Первая проблема связана с обработкой ошибок при нехватке памяти. При определенных условиях PHP может оставить внутренние данные в некорректном состоянии, после чего обработка запроса способна привести к выполнению вредоносного кода. Вторая уязвимость возникает, когда серверный процесс обращается к памяти, которая уже была освобождена после обработки предыдущего запроса. Специально подготовленный запрос может использовать эту ошибку для атаки.
Опасность заключается в том, что хакеры могут атаковать уязвимый сервер без пароля и доступа к панели управления сайтом. Если атака окажется успешной, они смогут выполнять команды на сервере, получить доступ к хранящимся на нем файлам и базам данных или нарушить работу сайта.
Власти и специалисты по кибербезопасности призвали операторов серверов срочно обновить PHP. Агентство по кибербезопасности и защите инфраструктуры США (CISA) на момент публикации своего предупреждения не наблюдало эксплуатации этих уязвимостей в атаках. Исследователи уже продемонстрировали возможность добиться удаленного выполнения кода в тестовых условиях и на приложениях, использующих PHP. Поэтому отсутствие подтвержденных массовых взломов не означало, что угрозу можно игнорировать.
Исправления вошли в PHP 8.5.12, 8.4.27, 8.3.36 и 8.2.35. Разработчики подчеркнули, что полноценной альтернативы обновлению нет. Системы на более старых версиях, включая неподдерживаемые ветки, также могут оставаться уязвимыми. Если установить исправление сразу невозможно, администраторам рекомендуется оценить риск и рассмотреть временное отключение уязвимых сервисов.
Первые признаки одной из уязвимостей исследователь заметил еще в 2024 году. Фонд PHP признал задержку с исправлением системным сбоем: тогда не удалось найти конкретный способ эксплуатации, а другие проблемы с более очевидными последствиями получили приоритет.
Сейчас разработчики рекомендуют немедленно обновить PHP и проверить все серверы, контейнеры и приложения, в которых используется этот язык. Для владельцев сайтов это не просто плановое обновление: уязвимости потенциально позволяют атаковать сервер извне, а значит, откладывать установку исправлений рискованно.
Читайте также: Умные функции автомобилей открывают новые возможности для хакеров