Разработчики языка PHP объявили о подготовке внеочередных исправлений для двух опасных уязвимостей. Каждая из них оценена на 9,2 балла из 10 возможных. Администраторам сайтов и приложений рекомендовано заранее подготовиться к установке обновлений сразу после публикации.
В предупреждении разработчиков указано, что исправления могут появиться раньше намеченного срока, если сведения об уязвимостях станут публичными или обнаружатся реальные атаки. В материале сообщается о запланированном времени выпуска около 14:00 по всемирному координированному времени. Специалистам рекомендуют отслеживать официальные сообщения на PHP.net.
Поводом для особого внимания стала утечка неподтвержденных сведений об инструменте PHP2Shell. В опубликованном описании ему приписывается удаленное выполнение кода на серверах с разными приложениями, работающими на PHP. Достоверность демонстрации и заявленного охвата версий языка на момент сообщения не установлена.
Компания watchTowr подтвердила реальность двух уязвимостей с обозначениями CVE-2026-109618 и CVE-2026-109619. При этом утверждение о затрагивании всех выпусков PHP начиная с версии 5 осталось частью неподтвержденного сообщения. Эксперты Sansec предупредили о возможности быстрого начала массовых атак после выхода исправлений, но это прогноз, а не установленный факт.
В числе возможных затрагиваемых систем в утечке перечислены WordPress, MediaWiki, phpBB, Magento, Joomla, Laravel, Symfony, Drupal и WHMCS. Это распространенные платформы сайтов, интернет-магазинов и приложений. Указанный список основан на предполагаемой демонстрации работы PHP2Shell, которую нельзя считать независимо подтвержденным свидетельством успешных атак.
Администраторам рекомендуют определить ответственных за PHP, проверить перечень приложений, подготовить резервные копии сайтов и баз данных и согласовать окно обслуживания. Некоторые специалисты предлагают временно отключить необязательные сервисы до установки обновлений. О предупреждении и подготовке экстренных патчей сообщает Ars Technica.