Безопасность · 24 октября 2026 г.
Обнаружены уязвимости в PHP, обновления выпущены
Обнаружены две серьезные уязвимости в «PHP», и PHP Foundation раскрыла процесс их обнаружения и исправления. Некоторые проблемы были идентифицированы в 2024 году, но из-за нехватки ресурсов работа затянулась. Ожидалось, что информация будет обнародована после согласования между заинтересованными сторонами, однако до публикации произошла утечка данных, вызвавшая путаницу.
21 октября 2026 года были выпущены обновления «PHP 8.5.12», «PHP 8.4.27», «PHP 8.3.36» и «PHP 8.2.35», которые устраняют уязвимости «CVE-2026-109618» и «CVE-2026-109619», позволяющие выполнять код без аутентификации удаленно. Пользователям «PHP» настоятельно рекомендовано обновиться немедленно.
Также было объяснено, как возникли проблемы и путаница во время раскрытия информации. Обнаруженные уязвимости связаны с управлением памятью и обработкой ошибок, используемыми почти во всех запросах. Это серьезные уязвимости с широким воздействием, что создало дополнительные сложности, включая необходимость согласования между участниками и влияние на производительность.
Согласно информации, «CVE-2026-109618» была выявлена в результате внешнего аудита, проведенного в 2024 году, в процессе исправления другой проблемы. Хотя с того времени ожидалась возможность эксплуатации, атакующий вектор не был установлен, и приоритет был отдан другой, более конкретной проблеме.