Экстренные патчи для PHP: утечка раскрыла две критические уязвимости

Команда разработки интерпретатора PHP предупредила системных администраторов о подготовке к выпуску неплановых фиксов. В сети досрочно распространились сведения о двух критических уязвимостях, поэтому разработчики призвали готовиться к установке исправлений без промедления. Поскольку на этом стеке работают многочисленные веб-сервисы, системы управления контентом и платформы электронной коммерции, экстренные обновления безопасности PHP будут опубликованы в ускоренном режиме.

По имеющимся данным, выявленные критические уязвимости в PHP допускают удаленное выполнение произвольного кода и затрагивают широкую линейку версий языка. В данном материале собрана вся текущая информация о графике выхода патчей, деталях утечки и оценках экспертов по информационной безопасности.

График выхода экстренных патчей и официальная позиция PHP

В официальном уведомлении команда безопасности PHP сообщила о намерении опубликовать защитные обновления в среду, 21 октября, в 14:00 UTC (10:00 по восточному времени). Обоим выявленным недостаткам присвоен рейтинг опасности 9.2 по шкале CVSS v4.0. Разработчики также направили отдельное предупреждение в почтовую рассылку ANNOUNCE, призвав администраторов веб-серверов приготовиться к развертыванию исправлений сразу после их релиза.

Представители проекта подчеркнули, что сохраняют за собой право выпустить обновления раньше намеченного времени, если подробная техническая информация просочится в публичный доступ или будут зафиксированы реальные случаи атак с использованием данных брешей. При этом в первоначальном объявлении разработчики воздержались от раскрытия подробностей: в тексте не указывались конкретные затронутые версии PHP, механизмы эксплуатации или номера исправленных сборок. Полный отчет обещано обнародовать одновременно с публикацией патчей.

Утечка сведений и критические уязвимости в PHP по данным watchTowr

Несмотря на отсутствие технических деталей в официальном заявлении, специалисты компании watchTowr поделились с журналистами BleepingComputer имеющимися у них сведениями. По их данным, проблемные уязвимости зарегистрированы под идентификаторами CVE-2026-109618 и CVE-2026-109619. Обе они относятся к классу выполнения удаленного кода (RCE) и, предположительно, затрагивают ветки PHP 5, 6, 7 и 8.

Руководитель watchTowr Бенджамин Харрис пояснил, что сведения об этих уязвимостях утекли в сеть примерно за час до публикации официального анонса. Изначально раскрытие планировалось в рамках эмбарго на четверг, однако утечка изменила график. Исследователи подтвердили реальность угрозы и заявили, что обеим проблемам присвоена максимальная оценка CVSS 10.0. В лаборатории watchTowr также удалось успешно воспроизвести уязвимость CVE-2026-109618, однако эксперты отказались публиковать концепт атаки до появления официальных патчей. Они добавили, что на момент утечки попыток практической эксплуатации брешей в дикой природе зафиксировано не было.

Первоисточник утечки и расхождения в оценках опасности

Информация об уязвимостях первоначально появилась на форуме Hacker News компании Y Combinator в сообщении пользователя под ником «petecooper». Впоследствии эта публикация была удалена, однако в ней утверждалось, что 22 октября будут раскрыты две критические RCE-уязвимости в PHP с рейтингом CVSS 10.0, затрагивающие все версии начиная с PHP 5. Идентификаторы CVE, приведенные анонимным пользователем, полностью совпали с данными, представленными позже исследователями watchTowr.

При этом между заявлением команды PHP и сведениями сторонних специалистов существуют заметные расхождения. Разработчики PHP оценили уязвимости в 9.2 балла по CVSS v4.0, тогда как независимые исследователи и автор сообщения на Hacker News называют максимальный балл — 10.0. Кроме того, изначально планировавшийся на четверг релиз был смещен командой проекта на среду из-за нарушения условий конфиденциальности. Полный перечень исправляемых веток и детальное описание векторов атак будут опубликованы одновременно с релизом патчей.

Эффективность средств защиты при компрометации учетных данных

В контексте общего анализа защищенности инфраструктур эксперты обращают внимание на то, как меняется стойкость систем после получения злоумышленниками первоначального доступа. В исследовании Blue Report 2026, охватывающем 338 миллионов симуляций атак в реальных корпоративных средах, указывается, что после захвата валидных учетных данных защитные механизмы способны заблокировать лишь 37% действий атакующих.

Общие показатели предотвращения угроз часто скрывают реальную картину того, что происходит внутри сети после прохождения периметра. Именно поэтому своевременное закрытие критических уязвимостей на уровне веб-сервера и интерпретатора остаётся ключевым фактором, не позволяющим злоумышленникам получить первичный доступ к системе.