Команда безопасности PHP предупредила пользователей о двух критических уязвимостях и готовится выпустить срочное обновление 21 октября 2026 года в 17:00 по московскому времени. Обе проблемы получили оценку 9,2 балла из 10 по шкале CVSS 4.0. Разработчикам и администраторам серверов рекомендуют заранее подготовиться к установке новых версий PHP сразу после их появления.
Полные технические подробности пока намеренно не раскрываются. Вместе с обновлением разработчики собираются опубликовать информацию о затронутых версиях PHP, исправленных сборках и особенностях обнаруженных проблем. Команда также предупредила, что может выпустить патчи раньше запланированного времени, если сведения об уязвимостях станут общедоступными или появятся признаки их эксплуатации злоумышленниками.
По предварительной информации специалистов по информационной безопасности, уязвимости получили идентификаторы CVE-2026-109618 и CVE-2026-109619. Обе потенциально позволяют удалённо выполнить произвольный код на уязвимой системе. Такой тип проблемы считается особенно серьёзным, поскольку при определённых условиях атакующий может получить возможность выполнять команды на сервере без непосредственного физического доступа к нему.
Интерес к проблеме усилился после появления в интернете неподтверждённых материалов об инструменте под названием PHP2Shell. В опубликованной демонстрации утверждается, что с его помощью удаётся выполнять код на сайтах, использующих WordPress, MediaWiki, phpBB, Magento, Joomla, Laravel, Drupal и другие решения на базе PHP. Однако сама демонстрация пока не является подтверждением того, что перечисленные платформы действительно уязвимы во всех конфигурациях.
Также распространяется информация, что проблема якобы может присутствовать во всех поколениях PHP начиная с PHP 5, выпущенного ещё в 2004 году. Команда PHP на момент предупреждения это не подтверждала. Официальный список затронутых версий должен появиться только одновременно с исправлениями, поэтому администраторам пока не следует считать уязвимыми абсолютно все серверы на PHP без дополнительных подтверждений.
На момент публикации предупреждения разработчики PHP не сообщали о подтверждённых атаках с использованием этих уязвимостей. Тем не менее высокая оценка CVSS и возможность удалённого выполнения кода делают предстоящее обновление особенно важным. Владельцам серверов рекомендуется проверить используемые версии PHP и подготовить инфраструктуру к оперативной установке исправлений после их выхода.
Особое внимание стоит уделить публично доступным веб-серверам, поскольку PHP широко используется системами управления сайтами, интернет-магазинами, форумами и веб-приложениями. При этом само наличие WordPress, Joomla, Drupal или другой платформы ещё не означает, что конкретный сайт обязательно подвержен атаке: окончательные выводы можно будет сделать после публикации технической информации о двух уязвимостях.