Разработчики PHP предупредили администраторов о двух критических уязвимостях, для которых уже готовят экстренные патчи. Технические детали проблем пока не раскрываются, однако исследователи уже подтвердили существование багов, а в сети появилось видео с демонстрацией эксплоита PHP2Shell.
Обновления должны выйти 21 октября в 17:00 по московскому времени. Известно, что обе уязвимости получили по 9,2 балла по шкале CVSS. Команда PHP призывает пользователей заранее подготовиться к установке патчей и предупреждает, что исправления могут появиться даже раньше, если детали багов окажутся в публичном доступе или будут обнаружены признаки эксплуатации уязвимостей.
Пока разработчики не сообщают, какие именно версии PHP уязвимы, как именно могут эксплуатироваться проблемы и какие релизы получат исправления.
При этом исследователи из компании watchTowr утверждают, что речь идет о двух RCE-уязвимостях, которые имеют идентификаторы CVE-2026-109618 и CVE-2026-109619 и затрагивают PHP 5, 6, 7 и 8.
По словам главы watchTowr Бенджамина Харриса (Benjamin Harris), критичность этих багов достигает максимальных 10 баллов по шкале CVSS. Также специалисты пишут, что смогли воспроизвести CVE-2026-109618, однако не намерены публиковать технические подробности до выхода патчей.
Тем временем ИБ-исследователь Кирилл Фирсов (Kirill Firsov) опубликовал видео с демонстрацией эксплоита PHP2Shell. По его данным, авторами эксплоита и ролика являются исследователи lcfr_hax и calif_io. На видео PHP2Shell выполняет код на тестовых серверах с WordPress, MediaWiki, phpBB, Magento, Joomla, Laravel, Symfony, Drupal и WHMCS.
Кроме того, журналисты издания Ars Technica упоминают некий неподтвержденный отчет о проблеме PHP2Shell, появившийся в сети, оригинал которого им найти не удалось.
Специалисты компании Sansec ожидают, что массовые атаки на свежие уязвимости в PHP могут начаться уже через 15 минут после выхода патчей. Также администраторов призывают заранее подготовиться к обновлению эксперты компаний Wordfence и Huntress, которые уже выпустили отдельные предупреждения о PHP2Shell.
Администраторам советуют заранее составить список PHP-приложений и серверов, подготовить резервные копии сайтов и БД, а также запланировать обновление сразу после выхода патчей.
