PHP готує два екстрені виправлення для критичних уразливостей

Розробники PHP попередили адміністраторів сайтів про підготовку двох екстрених виправлень для уразливостей із оцінкою критичності 9,2 з 10. Вони закликали користувачів заздалегідь підготуватися до оновлення одразу після виходу патчів.

Дві критичні уразливості

Як повідомляє Ars Technica, виправлення планували випустити трохи більш ніж за 12 годин після оприлюднення попередження. Розробники PHP зазначили, що можуть опублікувати патчі раніше, якщо деталі однієї з проблем стануть публічними або з’являться докази активної експлуатації.

Попередження з’явилося після витоку непідтвердженої інформації про інструмент, який отримав назву PHP2Shell. У відео, про яке йдеться у витоку, нібито показано віддалене виконання коду на вебсерверах із сайтами та застосунками, що використовують PHP. Утім, Ars Technica не змогло знайти першоджерело цього повідомлення.

Які системи можуть бути зачеплені

У ролику згадувалися сервери з WordPress 7.1.3, MediaWiki 1.46.2, phpBB 3.3.17, Magento 2.4.9, Joomla 6.2.0, Laravel 13.36.0 і 8.83.29, Symfony 8.1.9, Drupal 11.4.10 та WHMCS 9.0.9. Усі ці продукти використовують PHP. Компанія watchTowr заявила, що проблеми можуть стосуватися всіх версій PHP, починаючи з PHP 5, а також підтвердила реальність уразливостей із ідентифікаторами CVE-2026-109618 та CVE-2026-109619.

Дослідники компанії Sansec очікують масових атак упродовж 15 хвилин після виходу оновлень. Компанії Webfence і Huntress також закликали адміністраторів підготуватися.

Рекомендації адміністраторам

Серед рекомендованих кроків — визначити відповідальних за супровід PHP, скласти перелік застосунків на цій мові, запланувати технічне вікно з 14:00 UTC із готовністю діяти раніше, створити резервні копії файлів сайтів і баз даних. Також радять стежити за оголошеннями на PHP.net. Деякі експерти рекомендують тимчасово відключити несуттєві системи до встановлення оновлень.