Дані про дві критичні вразливості PHP витекли до виходу виправлень: оновлення — 21 жовтня
Команда безпеки PHP закликала адміністраторів підготуватися до екстреного оновлення, яке усуває дві критичні вразливості. Поспіх пояснюється тим, що відомості про них, за даними дослідників, потрапили в публічний простір раніше запланованого розкриття.
Головне
PHP випускає екстрені виправлення двох критичних вразливостей 21 жовтня о 14:00 UTC (17:00 за київським часом).
За даними watchTowr, це вразливості віддаленого виконання коду CVE-2026-109618 та CVE-2026-109619, що зачіпають PHP 5, 7 і 8.
Інформація про них потрапила в мережу до завершення ембарго, але ознак активної експлуатації поки не виявлено.
Застарілі гілки PHP, найімовірніше, виправлень не отримають — їх радять ізолювати від інтернету.
PHP — одна з найпоширеніших мов серверного програмування. На ній працюють системи керування вмістом WordPress, Drupal і Joomla, інтернет-магазини на Magento, панелі керування хостингом і чимало корпоративного програмного забезпечення, яке взагалі не афішує, що використовує PHP.
У попередньому оголошенні, опублікованому 20 жовтня, розробники повідомили, що оновлення вийде в середу, 21 жовтня, о 14:00 UTC (17:00 за київським часом). Обидві вразливості мають оцінку 9,2 за шкалою CVSS v4.0. Аналогічне сповіщення команда розіслала підписникам списку ANNOUNCE і закликала встановити оновлення одразу після виходу.
Ми залишаємо за собою право випустити оновлення раніше, якщо подробиці будь-якої з вразливостей стануть публічними або зʼявляться докази їхньої активної експлуатації
Команда безпеки PHP, оголошення на php.net
Технічних подробиць розробники не розкривають: невідомо, які версії уражено, як саме можна експлуатувати вразливості та в яких випусках їх виправлено. Повну інформацію обіцяють оприлюднити разом з оновленнями.
Що кажуть дослідники
Дослідники компанії watchTowr повідомили BleepingComputer, що йдеться про вразливості віддаленого виконання коду (RCE) з ідентифікаторами CVE-2026-109618 та CVE-2026-109619.
За останню годину стався витік інформації про дві вразливості віддаленого виконання коду в PHP. Їх мали розкрити після завершення ембарго — у четвер об 11:00 за північноамериканським східним часом
Бенджамін Гарріс, генеральний директор watchTowr
Гарріс підтвердив, що вразливості справжні. Технічних деталей компанія з очевидних причин не розголошує. За його словами, обидві мають максимальну оцінку CVSS 10 і, ймовірно, зачіпають PHP 5, 7 та 8. У watchTowr також вважають, що їм вдалося відтворити CVE-2026-109618, проте подробиці оприлюднять лише після виходу виправлень.
Попри витік, ознак експлуатації вразливостей у реальних атаках дослідники не спостерігали. Про це ж повідомила і компанія Huntress, яка відстежує загрози в інфраструктурі своїх клієнтів.
Про витік watchTowr попередила і у дописі в X, зазначивши, що стала відомою інформація про вразливості нульового дня, які перебували під ембарго.
Читайте такожЧому важливо оновлювати програмне забезпечення
Як стався витік
Попередженню передував допис на форумі Hacker News від Y Combinator, який згодом видалили. Користувач під ніком petecooper стверджував, що 22 жовтня розкриють дві критичні RCE-вразливості в PHP. За його словами, обидві мають оцінку CVSS 10.0 і зачіпають версії, починаючи з PHP 5. Ідентифікатори в дописі, який бачили журналісти BleepingComputer, збіглися з тими, що пізніше назвала watchTowr.
Допис прибрали, але знімки екрана встигли поширитися соцмережами. Серед дослідників вразливості вже отримали неофіційну назву php2shell, зазначають у Huntress. Після витоку команда PHP призначила реліз на день раніше від початкової дати ембарго.
Дані з неофіційних джерел розходяться з позицією розробників. І watchTowr, і автор допису на Hacker News оцінили вразливості в 10 балів, тоді як команда безпеки PHP присвоїла кожній 9,2 за CVSS v4.0.
Кого це стосується
За оцінкою Sansec, вразливості зачіпають усі вебсервери з PHP 5.4 і новішими версіями. Офіційного переліку уражених і виправлених версій поки немає. Водночас дослідники очікують, що виправлення отримають лише гілки, які досі підтримуються: востаннє оновлення безпеки 24 вересня вийшли для PHP 8.2, 8.3, 8.4 та 8.5.
Ті, хто досі працює з PHP 5, 7, 8.0 або 8.1, можуть узагалі не отримати виправлень, попереджають у Huntress.
Що робити адміністраторам
Поки оновлення не вийшло, завдання — бути готовими встановити його одразу. Huntress рекомендує такі кроки:
Скласти перелік усіх інсталяцій PHP — не лише на вебсерверах, а й у неочевидних місцях: у програмному забезпеченні постачальників із вбудованими php.exe чи php-cgi.exe, у панелях керування cPanel і Plesk, на будь-яких сайтах з WordPress, Drupal, Joomla або Magento.
Запланувати оновлення на 21 жовтня після 17:00 за київським часом і почати з систем, доступних з інтернету. Номери виправлених версій брати лише з офіційного оголошення PHP, а також стежити за пакетами від розробників дистрибутивів Linux і хостинг-провайдерів.
Виявити середовища із застарілими версіями PHP і оновити їх, відключити від інтернету або закрити доступ через VPN чи вебзастосунковий брандмауер (WAF).
Стежити за процесами, які запускає PHP. Насторожити має ситуація, коли php-fpm, php-cgi чи apache2 запускає командні оболонки, інтерпретатори або утиліти на кшталт curl і wget. Для Linux-серверів без засобів виявлення загроз дослідник Флоріан Рот підготував безплатний інструмент process-watcher.
У разі підозри на злам — ізолювати сервер, зберегти журнали вебсервера та PHP, перевірити наявність вебшелів, нових файлів у кореневому каталозі сайту, нових завдань cron і облікових записів.
Команда безпеки PHP обіцяє оприлюднити повні технічні подробиці, перелік уражених версій і номери виправлених випусків разом з оновленнями. Матеріал буде доповнено після їхнього виходу.
Ця стаття Дані про дві критичні вразливості PHP витекли до виходу виправлень: оновлення — 21 жовтня раніше була опублікована на сайті CyberCalm, її автор — Наталя Зарудня
