21 октября разработчики PHP выпустили экстренные обновления для CVE-2026-109618 и CVE-2026-109619 с оценкой CVSS 9,2. Обе проблемы позволяют выполнить код на удалённой системе без аутентификации, а значит, критическая уязвимость PHP касается не только команды разработки, но и тех, кто отвечает за доступность сервисов, данные клиентов и ночные дежурства.
В день публикации сведений о CVE-2026-109619 инструмент «Нокстюрн» начал выявлять её на внешних ресурсах, сообщает CNews. Команда направления информационной безопасности «СофтБаланс x сбсекьюрити» проверила сайты и сервисы «СофтБаланс», обновила затронутые компоненты и заявила, что ресурсы компании защищены от этой проблемы.
Сочетание удалённого выполнения кода, отсутствия необходимости входа в систему и CVSS 9,2 — тот случай, когда обновление нельзя безболезненно отложить до следующего планового окна. Если атакующему достаточно обратиться к доступному извне сервису, граница между ошибкой в установленном компоненте и инцидентом оказывается опасно тонкой. Для компаний с PHP-приложениями в публичном контуре задача сводится к быстрой инвентаризации: где работает PHP, какие компоненты затронуты и на каких узлах обновление уже установлено.
В исходном сообщении речь идёт сразу о двух CVE, однако «Нокстюрн» начал обнаруживать именно CVE-2026-109619. Специалисты «СофтБаланс x сбсекьюрити» также передали информацию об этой уязвимости через форму обратной связи в Банк данных угроз безопасности информации ФСТЭК России. В БДУ подтвердили получение сведений и сообщили об обновлении карточки CVE-2026-109619.
Почему планового аудита недостаточно
История хорошо показывает ограничение привычной схемы безопасности: аудит может быть качественным, но он фиксирует состояние инфраструктуры лишь на дату проверки. Новая уязвимость PHP появляется уже после отчёта, публикуется обновление — и организация получает новый риск, которого в недавнем аудите просто не могло быть. В такой ситуации важен не только список найденных слабых мест, но и постоянный контроль внешнего периметра.
Для разработчиков это означает, что процесс обновления интерпретатора и зависимых компонентов должен быть связан с мониторингом публичных сервисов. Недостаточно иметь актуальный образ в CI/CD, если старый контейнер, резервный хост или забытый тестовый поддомен всё ещё принимает запросы из интернета. Для эксплуатации и ИБ полезно заранее договориться, кто принимает решение об экстренном патче, как подтверждается успешное обновление и чем проверяется отсутствие уязвимого экземпляра снаружи.
Отдельная проблема — видимость инфраструктуры. В крупной компании PHP может работать не только в основном продукте: он встречается в корпоративных порталах, CMS, партнёрских кабинетах, служебных панелях и наследуемых сервисах. Часть таких систем не попадает в ежедневный фокус команды, пока не становится точкой входа. Поэтому при появлении критической уязвимости PHP инвентаризация активов и сканирование внешнего контура часто дают больше практической пользы, чем длинная дискуссия о том, насколько вероятна атака.
Что делать с экстренным обновлением
Публикация исправлений 21 октября задаёт довольно прямой порядок действий. Сначала стоит определить, используется ли PHP и связанные с ним компоненты в публично доступных системах. Затем — сопоставить версии и конфигурации с данными поставщика обновлений, установить исправления по приоритету внешних сервисов и проверить результат независимо от самого процесса развёртывания. Здесь особенно важна последняя часть: отметка об успешном релизе в задаче не доказывает, что в интернете не остался второй, старый экземпляр приложения.
Бизнесу этот эпизод напоминает о цене сокращения времени между раскрытием и исправлением. В источнике не приводятся сведения об атаках с использованием CVE-2026-109618 или CVE-2026-109619, поэтому превращать новость в рассказ о массовом взломе было бы преждевременно. Но технические характеристики уязвимостей достаточно серьёзны, чтобы относиться к ним как к приоритетному риску: удалённое выполнение кода без аутентификации редко оставляет много пространства для спокойного согласования патча по обычному расписанию.
«СофтБаланс x сбсекьюрити» предлагает другим компаниям помощь в проверке инфраструктуры, поиске уязвимых компонентов и организации устранения. Для рынка важнее сам рабочий принцип: после выхода критического исправления выигрывает не тот, кто первым добавил CVE в ежемесячный отчёт, а тот, кто быстро нашёл реальные точки воздействия и закрыл их. Чем больше внешних сервисов и наследуемых систем у компании, тем сильнее эта гонка будет зависеть от непрерывного мониторинга, а не от календаря аудитов.
