Команда безопасности PHP официально анонсировала внеплановый выпуск критического обновления… Релиз направлен на устранение двух серьезных уязвимостей, каждая из которых получила оценку 9.2 по шкале CVSS v4.0. Telegram-канал создателя Трешбокса про технологии
Согласно данным исследователей, речь идет об уязвимостях удаленного выполнения кода, условно обозначаемых как php2shell (CVE-2026-109618 и CVE-2026-109619). Эксплуатация этих ошибок позволяет злоумышленникам получить полный контроль над сервером, на котором работает уязвимый интерпретатор. Примечательно, что проблема носит системный характер и затрагивает все веб-серверы, использующие PHP версии 5.4 и новее.
Для нейтрализации угрозы разработчики настоятельно рекомендуют администраторам инфраструктуры немедленно обновить программное обеспечение до актуальных защищенных версий. Критические исправления включены в релизы 8.5.12, 8.4.27, 8.3.36 и 8.2.35. Пользователи более старых веток, находящихся за пределами цикла активной поддержки, должны рассмотреть возможность срочной миграции на поддерживаемые версии или применения временных обходных решений на уровне конфигурации веб-сервера.
Поскольку PHP является фундаментом для большинства современных систем управления контентом, включая WordPress, Joomla и Drupal, масштаб потенциального ущерба оценивается как глобальный. Крупные хостинг-провайдеры и команды разработки популярных CMS уже начали превентивное развертывание патчей в своих инфраструктурах.
Полный технический отчет с детальным описанием векторов атаки и инструкциями по проверке систем на предмет возможной компрометации уже опубликован на официальном сайте проекта. Специалистам по информационной безопасности рекомендуется в приоритетном порядке проверить конфигурации своих серверов и убедиться в успешном применении обновлений, так как риск появления автоматизированных скриптов для эксплуатации данных уязвимостей в ближайшие дни будет стремительно расти.
Источник: trashbox.ru