CERT-EU, защищающая учреждения и органы ЕС, опубликовала эту рекомендацию вечером во вторник. Австралийский центр кибербезопасности (ACSC) выпустил аналогичные рекомендации.
PHP работает на веб-серверах и обеспечивает работу страниц сайтов, созданных на WordPress, Drupal, Joomla и Magento. Ранее злоумышленники уже использовали уязвимости PHP: в 2019 году ошибка в PHP 7 позволила хакерам захватывать веб-серверы.
Две новые уязвимости зарегистрированы под номерами CVE-2026-109618 и CVE-2026-109619. По шкале CVSS, стандартной системе оценки серьёзности уязвимостей, обе получили 9,2 балла из 10, сообщила команда безопасности PHP.
По данным CERT-EU, такая оценка указывает на риск удалённого выполнения кода без аутентификации. Проще говоря, злоумышленник может через интернет запускать собственный код на сервере, не вводя пароль и не проходя авторизацию.
CERT-EU заявила, что уязвимости могут затрагивать все версии PHP начиная с PHP 5, хотя этот вывод основан на публикациях в социальных сетях, а не на информации от самого PHP. PHP пока не сообщила, какие версии уязвимы и в каких выпусках будут исправления. Эти сведения появятся вместе с патчами.
Команда безопасности PHP призвала пользователей подготовиться уже сейчас и «обновиться, как только выйдет выпуск с исправлением».
Выпуск обновления состоится раньше запланированного срока. В понедельник в интернете распространились сведения об уязвимостях — ещё до назначенной даты их раскрытия. Затем исследователи компании по кибербезопасности watchTowr заявили, что им удалось воспроизвести одну из ошибок, сообщает Huntress.
После этого PHP перенесла выпуск на день раньше и сообщила, что может выпустить обновление ещё раньше, если подробности станут общедоступными или начнутся атаки. Пока ни об одной атаке не сообщалось.
«В настоящее время ACSC не располагает сведениями об активной эксплуатации этих уязвимостей», — заявило австралийское ведомство.
Тем не менее хостинг-провайдер GoDaddy предупредил, что злоумышленники могут воспользоваться уязвимостями, чтобы похитить данные, испортить сайты или полностью захватить контроль над серверами. CERT-EU рекомендовала организациям выявить все используемые ими приложения PHP и подготовиться установить исправления сразу для всех.
Если это невозможно, организациям следует «рассмотреть возможность изоляции приложений, доступных из интернета, от публичных сетей до установки исправления», заявила CERT-EU.
Опубликовано 21 октября 2026 - 03:01 Наверх
