Обнаружены две критические уязвимости в PHP, сайты по всему миру отключают сервисы

В PHP выявили две серьезные уязвимости, позволяющие удаленно выполнить код без авторизации. Об этом сообщает Azh.kz со ссылкой на данные разработчиков и европейских IT-организаций.

В одном из самых популярных языков программирования для сайтов и веб-приложений — PHP — обнаружены две критические уязвимости с оценкой 9,2 из 10 по шкале CVSS. Они зарегистрированы под номерами CVE-2026-109618 и CVE-2026-109619.

Главная угроза заключается в возможности удаленного выполнения произвольного кода без предварительной авторизации. Это означает, что злоумышленник может получить контроль над сервером, на котором работает уязвимая версия PHP.

Проблема затрагивает широкий спектр систем, так как PHP используется в инфраструктуре популярных платформ — WordPress, Drupal, Joomla, Magento, а также в различных системах управления сайтами, хостинговых панелях и веб-приложениях.

В ответ на публикацию информации о уязвимостях некоторые организации начали временно отключать свои сайты. Например, в Финляндии государственный IT-центр Valtori сообщил о приостановке работы ряда государственных веб-сервисов, включая сайт Национальной земельной службы. Подобные меры принимались и в других странах Европы.

Европейская служба CERT-EU рекомендовала срочно устанавливать исправления. Если обновить серверы быстро невозможно, советуют временно изолировать интернет-доступные приложения.

21 октября разработчики PHP выпустили обновления для версий 8.5.12, 8.4.27, 8.3.36 и 8.2.35, призвав пользователей как можно скорее их установить. В команде PHP отметили, что альтернативы обновлению нет.

По данным разработчиков, уязвимы системы, обрабатывающие веб-запросы, включая PHP-FPM, Apache с mod_php, php-cgi, FrankenPHP и LiteSpeed. Для версий PHP 8.1 и ниже официальная поддержка завершена, но некоторые поставщики Linux могут выпускать собственные исправления.

В Казахстане на момент проверки на сайте KZ-CERT не было отдельного предупреждения по этим уязвимостям. Тем не менее, сайты и серверы с уязвимыми версиями PHP остаются под угрозой и требуют обновления.

Что известно: две уязвимости PHP позволяют удаленно выполнить код без авторизации, затрагивают популярные CMS и веб-серверы, обновления вышли 21 октября, некоторые страны временно отключают сервисы.