Команда безопасности PHP объявила о двух критических уязвимостях с оценкой CVSS v4.0 9.2 и запланировала внеплановый релиз безопасности на 21 октября 2026 года в 14:00 UTC. По данным исследователей из watchTowr, обе уязвимости позволяют удалённое выполнение кода (RCE). Патчи получат только четыре поддерживаемые ветки — с 8.2 по 8.5. По подсчётам компании Mallory, около 884 000 интернет-доступных хостов работают на устаревших версиях PHP и не получат исправлений от вендора. Эксплуатация в дикой природе на момент публикации не зафиксирована, но история аналогичных уязвимостей PHP показывает, что атаки могут начаться в течение суток после раскрытия деталей.
Что известно о уязвимостях
Официальное уведомление PHP подтверждает существование двух критических уязвимостей, но не раскрывает технических деталей, затронутых версий и даже идентификаторов CVE. Полная информация должна быть опубликована вместе с релизом. Идентификаторы CVE-2026-109618 и CVE-2026-109619 фигурируют в публикациях исследователей и в утечке на Hacker News, но PHP в своём уведомлении их не называет.
Здесь важно разделить подтверждённые факты и неподтверждённые утверждения. Официально установлено следующее:
- Обе уязвимости оценены командой безопасности PHP в CVSS v4.0 9.2 (Critical)
- Патчи выпускаются для веток PHP 8.2, 8.3, 8.4 и 8.5
- Технические детали, включая уязвимый компонент и вектор атаки, пока не раскрыты
В утечке на Hacker News от 20 октября фигурировала оценка CVSS 10.0 и утверждение о том, что уязвимости затрагивают все версии начиная с PHP 5. Однако оценка 10.0 — это цифра из неверифицированной утечки, а не официальный рейтинг вендора. Как отмечает watchTowr в своём FAQ, заявленный охват «начиная с PHP 5» не подтверждён официальным вендорским уведомлением, равно как не установлены технические причины уязвимостей и требования к конфигурации для их эксплуатации.
Матрица затронутых версий и масштаб проблемы
На основании доступных данных складывается следующая картина:
- Ветки 8.2–8.5 — поддерживаемые, получат патчи. По данным Mallory, исправленные версии: 8.2.35, 8.3.36, 8.4.27 и 8.5.12 (эти номера версий указаны Mallory, а не в официальном уведомлении PHP)
- PHP 8.1 и старше — ветки, достигшие конца жизненного цикла (end of life), вендорского патча не получат
- PHP 5 и далее — неподтверждённый диапазон уязвимости из утечки
Именно последний пункт создаёт наибольшую неопределённость. Если уязвимости действительно затрагивают версии вплоть до PHP 5, масштаб проблемы существенно возрастает. По подсчётам Mallory, из примерно 1,5 миллиона интернет-доступных хостов, сообщающих версию PHP через HTTP-баннеры в Shodan, 883 717 (59%) работают на ветках, которые не получат исправлений. Ещё 740 000 хостов сообщают о наличии PHP без указания версии. Эти цифры отражают баннеры, а не подтверждённо уязвимые системы или уникальные организации, но они указывают на значительный потенциальный масштаб воздействия.
Статус эксплуатации
По данным watchTowr, на 21 октября 2026 года эксплуатация в дикой природе не зафиксирована. Huntress сообщает, что по состоянию на 20 октября не наблюдала эксплуатации в среде своих партнёров, не воспроизводила proof of concept и не располагала информацией о публичном эксплойт-коде. Уязвимости не внесены в каталог CISA Known Exploited Vulnerabilities. Подтверждённых индикаторов компрометации (IOC) на момент публикации также нет.
Однако отсутствие зафиксированной эксплуатации — это ограниченная по времени оценка. Для сравнения: когда в июне 2024 года была раскрыта CVE-2024-4577 (уязвимость PHP в режиме CGI на Windows), попытки эксплуатации были зафиксированы Akamai на ханипотах в течение 24 часов.
Хронология утечки и реакции
Ситуация развивалась нестандартно. 20 октября на Hacker News появился пост с информацией о двух RCE-уязвимостях в PHP, якобы с оценкой CVSS 10.0, с указанием CVE-идентификаторов и датой раскрытия — 22 октября (четверг). Автор поста признал, что его источник — «trust me, bro». После этого watchTowr подтвердила в X, что утечка реальна, уязвимости находились под эмбарго, и все должны были ждать четверга. PHP опубликовал своё уведомление в тот же вечер, в 19:33 UTC, назначив релиз на среду — на день раньше даты, указанной в утечке. Уведомление содержит оговорку: релиз может быть ускорен, если детали уязвимостей станут публичными или появятся свидетельства активной эксплуатации.
Утечка раскрыла факт существования уязвимостей, оценку, дату и CVE-идентификаторы, но не механизм работы уязвимостей. Это важное различие: информации для создания эксплойта в утечке не было.
Практические рекомендации
PHP не опубликовал обходных решений (workaround). До выхода патча рекомендуется следующий набор действий, основанный на рекомендациях Huntress и CERT-EU:
- Инвентаризация: выявите все установки PHP, включая встроенный PHP в вендорских устройствах, Windows-приложениях и панелях управления (cPanel, Plesk)
- Готовность к обновлению: подготовьтесь к установке патча сразу после выхода релиза. Интернет-доступные системы — в первую очередь. Проверьте наличие бэкпортированных пакетов у вашего дистрибутива Linux или хостинг-провайдера
- Устаревшие версии: системы на PHP 8.1 и старше необходимо обновить, вывести из интернета или разместить за VPN либо WAF
- Изоляция: CERT-EU рекомендует рассмотреть изоляцию интернет-доступных PHP-приложений от публичных сетей до выхода исправления
- Мониторинг процессов: настройте оповещения при запуске php-fpm, php-cgi, httpd или apache2 оболочек, интерпретаторов или средств загрузки. На Linux-серверах без EDR можно использовать process-watcher от Флориана Рота — инструмент логирует каждую программу, запущенную процессом PHP, с командной строкой. Важно: он фиксирует процесс уже после запуска и, по словам автора, «ничего не предотвращает»
- Реагирование на инцидент: при обнаружении подозрительной активности — изолируйте сервер, сохраните логи веб-сервера и PHP, проверьте наличие веб-шеллов, новых файлов в корне сайта, новых задач cron и учётных записей
Приоритет патчинга следует выстраивать с учётом того, что системы на устаревших ветках PHP (8.1 и старше) не получат вендорского исправления. По данным Mallory, таких интернет-доступных хостов — около 884 000. Для этих систем единственные варианты — обновление до поддерживаемой ветки, ограничение сетевого доступа или размещение за WAF. Организациям на поддерживаемых ветках (8.2–8.5) необходимо установить патч сразу после его публикации, начиная с интернет-доступных серверов.
Релиз должен прояснить ключевые неизвестные: какие именно версии затронуты, какой компонент PHP содержит уязвимость, требуется ли для эксплуатации определённый режим работы PHP или конфигурация, и как сам вендор описывает уязвимости. До этого момента все действия носят превентивный характер, а наиболее критичный шаг — обеспечить готовность к немедленному обновлению поддерживаемых веток и изолировать или вывести из эксплуатации системы на устаревших версиях PHP.
