В PHP обнаружили две критические уязвимости, которые могут поставить под угрозу миллионы сайтов по всему миру. Европейские специалисты по кибербезопасности предупреждают о риске удалённого взлома серверов, а первые атаки, по сообщениям отраслевых компаний, уже начались.
Как сообщает Reuters, команда разработчиков PHP подготовила экстренные исправления для уязвимостей CVE-2026-109618 и CVE-2026-109619. Обе получили оценку критичности 9,2 из 10 по шкале CVSS 4.0. Выпуск обновлений запланирован на 21 октября.
Проблема может затронуть огромное количество ресурсов: PHP используется в популярных системах управления сайтами и интернет-магазинами, включая WordPress, Drupal, Joomla и Magento, а также в многочисленных веб-приложениях, хостинговых платформах и инструментах администрирования серверов.
По предупреждению европейской группы реагирования на компьютерные инциденты CERT-EU, уязвимости потенциально позволяют злоумышленникам удалённо выполнять произвольный код на сервере без авторизации. Это может привести к краже данных, изменению содержимого сайтов, получению доступа к закрытым системам и полному компрометированию серверов.
Потенциально под угрозой находятся версии PHP начиная с PHP 5. При этом полный список уязвимых версий и технические подробности на момент публикации ещё не раскрыты. CERT-EU рекомендует организациям заранее выявить уязвимые системы и установить исправления сразу после их выхода. Если оперативно устранить проблему невозможно, ведомство советует рассмотреть временную изоляцию затронутых сайтов и приложений от публичных сетей.
По данным Cloudflare, первые атаки с использованием новых уязвимостей уже фиксируются. Технический директор компании Дейн Кнехт сообщил, что специалисты внедряют дополнительные правила защиты для межсетевого экрана веб-приложений (WAF). Однако такие меры лишь временно снижают риски и не заменяют официальные обновления PHP. Компания Patchstack также получила от нескольких хостинг-партнёров сообщения об активной эксплуатации уязвимостей.
