Разработчики языка программирования PHP выпустили экстренные обновления безопасности, устраняющие две критические уязвимости. Они позволяют злоумышленникам получить опасный удалённый контроль над уязвимыми системами. Обновления появились в среду на фоне предупреждений о возможных масштабных атаках.
PHP Foundation описала проблемы CVE-2026-109618 и CVE-2026-109619. Уязвимости затрагивают все установки PHP, обрабатывающие веб-запросы, начиная с пятой версии, выпущенной в июле 2004 года. Сейчас официальную поддержку получают только PHP 8.2 и более новые версии, однако отдельные дистрибутивы PHP и сторонние поставщики продолжают выпускать исправления для устаревших вариантов.
«Полных способов защиты не существует, обновление — единственный безопасный выбор», — заявила PHP Foundation в своих рекомендациях. Проблема особенно значима из-за того, что PHP остаётся частью старой интернет-инфраструктуры, где некоторые установки могли сохраниться без обновлений.
Язык, созданный в 1990-х годах, используется в значительной части веба. На PHP работают системы управления публикациями WordPress и Drupal, а также платформа электронной коммерции Magento компании Adobe. Независимый консультант по безопасности и приглашённый старший научный сотрудник Королевского колледжа Лондона Лукаш Олейник назвал ситуацию чрезвычайно серьёзной: «Это не учебная тревога».
По словам Олейника, последствия могут оказаться огромными, поскольку под угрозой находятся миллионы систем. «Особенно если злоумышленники быстро начнут использовать эти уязвимости. В худшем случае возможна червеобразная вредоносная программа, которая поразит значительную часть интернета», — сказал эксперт, сравнив распространённость PHP с критически важной инфраструктурой.
Специалисты опасаются, что атаки начнутся до того, как администраторы успеют установить исправления. Компания Cloudflare сообщила о первых попытках атак ещё до публикации подробностей и выпуска обновлений, а Sansec ожидала массовых атак в течение 15 минут после их выхода, состоявшегося незадолго до 10:00 по восточному времени США в среду. Консультант по безопасности и соответствию требованиям Дэви Оттенхаймер сравнил уязвимый интерфейс загрузки файлов с «входной дверью без замка»: по его словам, атакующему достаточно отправить специально сформированный файл на найденный сервер, не зная ни названия сайта, ни используемого программного обеспечения.