Две критические уязвимости удаленного выполнения кода в PHP будут исправлены во внеплановом релизе 21 октября. Исправления ожидаются только для поддерживаемых ветвей PHP 8.x.
Основные выводы
- CVE-2026-109618 и CVE-2026-109619 — критические уязвимости в PHP, обе оценены специалистами по безопасности PHP в 9.2 балла по шкале CVSSv4.0. В публичных отчетах обе уязвимости описываются как уязвимости удаленного выполнения кода.
- Компания watchTowr заявляет, что, по ее мнению, ей удалось воспроизвести CVE-2026-109618, а технический директор Cloudflare Дейн Кнехт (Dane Knecht) сообщает, что компания фиксирует появление первых атак.
- Релиз патча запланирован на 21 октября 2026 года в 14:00 по всемирному координированному времени (UTC). Номера версий, упоминавшиеся до релиза, указывают на PHP 8.5.12, 8.4.27, 8.3.36 и 8.2.35. Для устаревших ветвей (с истекшим сроком поддержки) исправления не ожидаются.
Справочная информация
Команда специального оперативного реагирования (RSO) компании Tenable подготовила этот блог, чтобы ответить на часто задаваемые вопросы (FAQ) о двух критических уязвимостях в PHP, о которых было объявлено 20 октября 2026 года.
Часто задаваемые вопросы
Когда эти уязвимости в PHP были раскрыты впервые?
20 октября 2026 года идентификаторы CVE распространились на Hacker News и в социальных сетях. Позже в тот же день команда безопасности PHP опубликовала предварительное уведомление о выпуске обновления безопасности, запланированном на 21 октября в 14:00 UTC (10:00 по восточному времени), для устранения двух критических уязвимостей. В уведомлении отмечалось, что команда может выпустить патч раньше, если детали станут публичными или появятся признаки эксплуатации в дикой природе. CERT-EU также опубликовала бюллетень (2026-018) с указанием обоих CVE. По данным watchTowr, изначально уязвимости планировалось раскрыть в четверг, 22 октября, в рамках режима эмбарго.
Видео, которым поделился исследователь Кирилл Фирсов, демонстрирует цепочку эксплойтов, получившую название php2shell. Фирсов указал авторами видео и эксплойта исследователей LCFR и Calif.io.
Команда безопасности PHP заранее предупреждает: предстоящий выпуск обновления безопасности состоится в среду, 21 октября 2026 г., в 14:00 UTC, две критические уязвимости, обе с оценкой CVSSv4 9.2. Пользователям PHP рекомендуется подготовиться к обновлению. Возможен более ранний релиз, если детали станут публичными или появятся свидетельства активной эксплуатации. — The PHP Foundation (@ThePHPF) October 20, 2026
Команда безопасности PHP заранее предупреждает: предстоящий выпуск обновления безопасности состоится в среду, 21 октября 2026 г., в 14:00 UTC, две критические уязвимости, обе с оценкой CVSSv4 9.2.
Пользователям PHP рекомендуется подготовиться к обновлению. Возможен более ранний релиз, если детали станут публичными или появятся свидетельства активной эксплуатации.
— The PHP Foundation (@ThePHPF) October 20, 2026
Что такое CVE-2026-109618 и CVE-2026-109619?
CVE-2026-109618 и CVE-2026-109619 — критические уязвимости в PHP. Публичные отчеты описывают обе проблемы как уязвимости удаленного выполнения кода. Команда безопасности PHP не публиковала технические детали до выхода исправлений.
Оценки CVSS различаются в зависимости от источников. Команда безопасности PHP оценивает обе уязвимости в 9.2 балла по шкале CVSSv4.0. В некоторых ранних отчетах, в том числе от watchTowr и в публикации на Hacker News, они описываются как уязвимости с CVSS 10.0. Мы обновим этот блог после того, как PHP опубликует официальный бюллетень.
Какие версии PHP затронуты?
CERT-EU заявляет, что эти уязвимости могут затрагивать все версии PHP, начиная с PHP 5, а в демонстрационном видео упоминаются версии PHP 5.4.0 и новее. PHP опубликует официальный список уязвимых и исправленных версий вместе с релизом. До выхода релиза исследователь безопасности Кевин Бомонт reported следующие исправленные версии:
Дистрибутивы Linux, поставляющие более старые пакеты PHP, могут переносить исправления (бэкпортировать), поэтому организациям, использующим пакеты из дистрибутивов, следует проверять рекомендации своих поставщиков.
Насколько распространен PHP и сколько хостов потенциально уязвимо?
Согласно W3Techs, PHP используется на 69.3% веб-сайтов, язык которых на стороне сервера известен. Такие платформы, как WordPress, Drupal, Joomla, Laravel и Magento, работают на PHP. По грубой оценке исследователя безопасности Сайласа Катлера (Silas Cutler), более 1.3 миллиона доступных из интернета хостов потенциально уязвимы. Поиск в Shodan, выполненный Хенком Поли (Henk Poley), насчитывает более 1.9 миллиона доступных из интернета хостов, на которых запущен PHP.
Была ли зафиксирована эксплуатация в дикой природе?
21 октября технический директор Cloudflare Дейн Кнехт заявил, что компания «фиксирует появление первых атак» и обновляет средства защиты по мере появления новых векторов атак. Представители watchTowr сообщили изданию BleepingComputer, что, по их мнению, им удалось воспроизвести CVE-2026-109618.
Сайты на PHP, находящиеся за Cloudflare, уже имеют развернутый базовый набор правил WAF для известных векторов эксплойтов, использующих эти уязвимости. Правила доступны всем клиентам, включая пользователей бесплатного тарифа. Мы фиксируем появление первых атак и обновляем средства защиты по мере появления новых векторов. Это исключительно ВРЕМЕННАЯ МЕРА. Установите патч, как только @ThePHPF выпустит обновление сегодня в 14:00 UTC. — Дейн Кнехт 🦭 (@dok2001) October 21, 2026
Сайты на PHP, находящиеся за Cloudflare, уже имеют развернутый базовый набор правил WAF для известных векторов эксплойтов, использующих эти уязвимости. Правила доступны всем клиентам, включая пользователей бесплатного тарифа.
Мы фиксируем появление первых атак и обновляем средства защиты по мере появления новых векторов.
Это исключительно ВРЕМЕННАЯ МЕРА. Установите патч, как только @ThePHPF выпустит обновление сегодня в 14:00 UTC.
— Дейн Кнехт 🦭 (@dok2001) October 21, 2026
Доступен ли концепт-эксплойт (PoC)?
В публичном доступе циркулирует код, заявляющий об эксплуатации этих уязвимостей, однако мы не проверяли, работает ли какой-либо из этих вариантов против CVE-2026-109618 или CVE-2026-109619. Непроверенный код эксплойтов иногда содержит вредоносное ПО, поэтому относиться к нему следует с осторожностью.
Доступны ли патчи или средства защиты?
Пока нет. Выход патчей запланирован на 21 октября 2026 года в 14:00 UTC (10:00 по восточному времени). Ожидаемые исправленные версии указаны в таблице выше. Для устаревших ветвей PHP официальные исправления не выпускаются.
Разработчик ядра PHP Джина Питер Баньярд (Gina Peter Banyard) заявила, что «единственным способом защиты является установка патча / обновление PHP». Отвечая на предложение, включающее отключение прогресса загрузки сессий (session upload progress, параметра конфигурации PHP), менеджер релиза PHP 8.6 Джо Фергюсон (Joe Ferguson) заявил, что «ini-настройки вас не спасут».
Другие меры могут снизить риски до тех пор, пока вы не сможете применить патч, но ни одна из них не заменяет само исправление. В случаях, когда немедленная установка патча невозможна, CERT-EU рекомендует организациям рассмотреть возможность изоляции общедоступных приложений от публичных сетей до появления исправления.
Компания Cloudflare развернула правила WAF для известных векторов эксплойтов, которые доступны всем клиентам, включая пользователей бесплатного тарифа. Cloudflare описывает это только как временную меру. Эти правила охватывают исключительно трафик, маршрутизируемый через Cloudflare.
Подвергались ли уязвимости в PHP эксплуатации ранее?
Да. Каталог известных эксплуатируемых уязвимостей CISA (KEV) включает три уязвимости в самом PHP. Две из них активно использовались в атаках программ-вымогателей:
Третья уязвимость, CVE-2012-1823, представляет собой изъян в PHP-CGI, который позже обходился в CVE-2024-4577.
Выпустила ли компания Tenable плагины для обнаружения этих уязвимостей?
Следующие плагины Tenable доступны для идентификации установок PHP и неподдерживаемых версий на уязвимых системах:
Список плагинов Tenable для этих уязвимостей будет доступен на соответствующих страницах CVE для CVE-2026-109618 и CVE-2026-109619 по мере их выпуска. Эти ссылки будут отображать все доступные плагины для данных уязвимостей, включая готовящиеся к выходу плагины в нашей системе Plugins Pipeline.
Получить дополнительную информацию
- PHP Foundation в X: Предварительное уведомление о предстоящем выпуске безопасности
Присоединяйтесь к команде специальных исследований (RSO) компании Tenable на платформе Tenable Connect для дальнейшего обсуждения новейших киберугроз.
Узнайте больше о Tenable One — платформе управления воздействием для современной поверхности атаки.
