Критические уязвимости PHP под угрозой массовой эксплуатации

В экосистеме PHP выявлены две критические уязвимости, получившие идентификаторы CVE-2026-109618 и CVE-2026-109619. По данным исследователей, обе проблемы потенциально способны привести к удалённому выполнению кода (RCE) без необходимости аутентификации. Учитывая широкое распространение PHP в веб-разработке, а также тот факт, что технические подробности об уязвимостях уже находятся в открытом доступе, эксперты предупреждают о высокой вероятности массовой эксплуатации в ближайшее время.

Подробности

Обе уязвимости отслеживаются как CVE-2026-109618 и CVE-2026-109619 и относятся к классу критических. Ключевая опасность заключается в возможности неаутентифицированного удалённого выполнения кода: злоумышленнику не требуется действительный аккаунт или предварительный доступ к системе, чтобы попытаться воспользоваться брешью. Это существенно снижает порог входа для атакующих и повышает привлекательность уязвимостей для автоматизированных сканеров и ботнетов. Публикация сведений об уязвимостях означает, что детали уже доступны широкой аудитории — включая злоумышленников. Именно в таких ситуациях исследователи фиксируют всплеск атак в течение часов или дней после раскрытия информации: эксплойты быстро адаптируются, а сканирование интернета на предмет уязвимых экземпляров становится массовым. В исходном сообщении не приводятся конкретные затронутые версии PHP и не указаны иные технические подробности, поэтому организациям следует ориентироваться на официальные рекомендации мейнтейнеров PHP и бюллетени безопасности.

Что делать

В первую очередь необходимо определить, какие версии PHP используются в вашей инфраструктуре, и сверить их с официальными рекомендациями по устранению CVE-2026-109618 и CVE-2026-109619. Приоритет — у систем, доступных из интернета: веб-приложения, API-шлюзы и публичные сервисы на PHP. Рекомендуется как можно быстрее применить доступные обновления и патчи. Если немедленное обновление невозможно, следует рассмотреть временные компенсирующие меры: ограничение доступа к уязвимым компонентам, усиление фильтрации входящего трафика, размещение сервисов за WAF или обратным прокси, а также сегментацию сети. Полезно проверить журналы на предмет подозрительной активности — попыток эксплуатации, аномальных запросов и признаков выполнения нештатного кода. Дополнительно стоит убедиться, что системы мониторинга и оповещения настроены на обнаружение характерных паттернов атак, а процессы управления уязвимостями позволяют оперативно реагировать на новые CVE. Не лишним будет пересмотреть практику управления обновлениями: регулярный аудит версий PHP и своевременная установка патчей снижают окно уязвимости и уменьшают вероятность того, что инфраструктура попадёт под массовую эксплуатацию. Итог: публикация деталей критических уязвимостей PHP создаёт реальный риск массовых атак с удалённым выполнением кода — организациям следует действовать незамедлительно и приоритетно закрыть доступные из интернета сервисы.

Источник: SecurityWeek