Безопасность · 25 октября 2026 г.
Обнаружена серьезная уязвимость RCE в PHP
В языке программирования PHP, который широко используется, была найдена серьезная уязвимость, позволяющая выполнять код удаленно без необходимости аутентификации. Уже зафиксированы попытки злоупотребления этой уязвимостью, и опубликован доказательный код, что требует повышенного внимания к данному вопросу.
Команда разработчиков PHP выпустила обновление 21 октября 2026 года, чтобы устранить две уязвимости, обозначенные как «CVE-2026-109618» и «CVE-2026-109619». Эти уязвимости также известны под названием «PHP2Shell», и существует обеспокоенность по поводу их потенциального воздействия.
Разработчики опубликовали версии «PHP 8.5.12», «8.4.27», «8.3.36» и «8.2.35», которые включают исправления уязвимостей. Основным методом борьбы с проблемой является обновление, однако предлагаются и меры по снижению риска.
Уязвимость может затронуть приложения любого типа, и в случае эксплуатации это может привести к краже данных или выполнению произвольного кода.
Компания Wiz сообщила, что продемонстрировала возможность выполнения кода без аутентификации в средах, использующих «WordPress», «Drupal» и «Joomla». Указано, что под угрозой находятся все версии, начиная с «PHP 5.4», включая те, которые больше не поддерживаются.