Команда PHP назначила экстренный выпуск обновлений на 21 октября, 14:00 UTC: они должны закрыть две критические уязвимости PHP, каждая из которых получила оценку 9,2 по CVSS v4.0. Для компаний это не история про плановое обновление «когда-нибудь в спринте»: PHP по-прежнему стоит за CMS, интернет-магазинами и внутренними веб-сервисами, а сведения о проблемах уже вышли за пределы первоначального эмбарго.
О предстоящем релизе сообщает BleepingComputer. Разработчики PHP призвали администраторов подготовиться к установке патчей сразу после публикации и оставили за собой право выпустить их раньше срока, если детали уязвимостей станут публичными либо появятся признаки атак. Пока официальный проект не раскрыл ни затронутые ветки, ни технический механизм эксплуатации, ни номера релизов с исправлениями.
Обе проблемы отслеживаются под идентификаторами CVE-2026-109618 и CVE-2026-109619. По данным исследователей watchTowr, речь идёт об удалённом выполнении кода: атакующий потенциально может добиться запуска команд на уязвимом сервере. CEO watchTowr Бенджамин Харрис заявил изданию, что компания смогла подтвердить реальность обеих уязвимостей и воспроизвести как минимум CVE-2026-109618. Технические детали исследователи пока не публикуют, чтобы не превратить новость о патче в готовую инструкцию для атаки.
Вокруг оценок уже есть расхождение. Официальная команда PHP указывает 9,2 по CVSS v4.0 для каждой проблемы, тогда как watchTowr и удалённая публикация на Hacker News называли максимальные 10,0. Для операционной команды эта разница почти ничего не меняет: обе оценки находятся в критическом диапазоне, а возможный RCE на веб-сервере требует приоритетного реагирования. Максимальный балл хорошо смотрится в заголовке; важнее, что исправления появятся на сутки раньше ожидаемого раскрытия.
Исследователи watchTowr считают, что затронуты PHP 5, 6, 7 и 8. Это не подтверждено самим проектом PHP, поэтому воспринимать список как окончательный рано. Но он достаточно тревожен, чтобы уже сейчас собрать инвентарь PHP-инсталляций: публичные сайты, панели администрирования, старые монолиты, контейнерные образы, CI-сборки и окружения подрядчиков. Особое внимание стоит уделить системам, где версия интерпретатора зашита в образ или зависит от репозитория ОС: обновлённый пакет не поможет контейнеру, который продолжает запускаться со старым слоем.
Практический план на ближайшие часы выглядит скучно — а значит, правильно. Нужно определить владельцев сервисов на PHP, проверить окна обслуживания и подготовить тестовый контур для новых сборок. После выхода обновлений администраторам понадобится сверить затронутые версии с бюллетенем PHP, оперативно обновить поддерживаемые ветки и перезапустить процессы, использующие интерпретатор. Для критичных сервисов разумно заранее подготовить откат и проверить, не остались ли на балансировщиках или в очередях воркеры со старой версией. Если в инфраструктуре всё ещё живут неподдерживаемые версии, экстренный релиз может оказаться не патчем, а неприятным аудитом технического долга.
Пока watchTowr не видела эксплуатации этих CVE в реальных атаках. Это важная, но короткоживущая хорошая новость: после публикации патчей и технического разбора окно для защитников обычно сжимается. Утечка сведений до запланированного раскрытия делает скорость установки обновления важнее обычного цикла change management. Полный список исправленных версий и детали PHP обещает раскрыть вместе с релизом; исходную цитату главы watchTowr и хронологию публикации можно проверить у .
