Две уязвимости удалённого выполнения кода в PHP дают возможность запустить собственный код на сервере с интерпретатором этого языка. Удалённое выполнение кода означает, что атакующий выполняет свои команды, не имея доступа к консоли. Заявленный охват - все выпуски PHP начиная с пятой версии. Риск затрагивает сайты и внутренние сервисы на PHP, включая системы управления контентом. Номера CVE-2026-109618 и CVE-2026-109619 взяты из отчёта watchTowr и пока не подтверждены.
Что подтверждено по двум уязвимостям PHP с оценкой 9,2
Уведомление команды безопасности PHP вышло 20 октября 2026 года. Команда планирует релиз на среду, 21 октября, 14:00 UTC. Обе уязвимости в анонсе вендора получили оценку 9,2 по CVSS v4.0, это верхняя часть шкалы. На 21 октября watchTowr не сообщает о применении этих уязвимостей в реальных атаках. Вендор готов выпустить исправления раньше срока, если детали станут публичными или появится свидетельство эксплуатации. Вместе с релизом обещают опубликовать перечень затронутых версий и исправленных сборок.
Технические детали остаются закрытыми. Вендор не назвал уязвимые компоненты, функции и векторы атаки. Неизвестны требования к аутентификации и настройки, при которых сервер становится уязвимым. Поэтому администраторы не могут определить, какие конфигурации подвержены риску в первую очередь. Заявление о поддержке всех версий начиная с PHP 5 тоже остаётся непроверенным. Не описан и уровень доступа, который требуется атакующему для успешной атаки.
Оценку 9,2 вендор не привязал к конкретным идентификаторам. Связывать баллы с CVE-2026-109618 и CVE-2026-109619 преждевременно, хотя речь идёт об одном выпуске. Сама watchTowr не присвоила этим номерам баллы, ссылаясь на нехватку данных. Расхождение есть и в датах. В разделе вопросов и ответов watchTowr упоминает слух о 22 октября, 18:00 по центральноевропейскому времени. Команда PHP называет 21 октября, 14:00 UTC. Официальный график вендора остаётся ориентиром при планировании работ.
Специалисты watchTowr искали установки PHP в сетях клиентов и оценивали их доступность из сети. Атрибуции нет: публичных данных о том, кто стоит за подготовкой возможной атаки, не приводится. Признаков эксплуатации тоже нет. При этом отсутствие сообщений об атаках не означает, что уязвимость нельзя использовать. Появление готового эксплойта (вредоносного кода, использующего уязвимость) резко меняет картину в первые же сутки.
PHP остаётся одной из самых распространённых серверных платформ. На нём работают системы управления контентом, плагины, внутренние инструменты предприятий. Такие серверы часто доступны из интернета и обрабатывают данные клиентов. Удалённое выполнение кода в этом слое даёт атакующему контроль над приложением. Кроме того, он получает путь к другим системам внутри сети.
Окно между анонсом и релизом составляет меньше суток. Готовиться к обновлению приходится заранее, без точных данных о механике атаки. Практика предварительных уведомлений даёт время на инвентаризацию. Однако она же порождает слухи и расхождения в сроках. Официальные каналы вендора в такой ситуации остаются основным источником.
До выхода патча остаётся время на инвентаризацию. Перечень серверов и приложений с PHP упрощает назначение ответственных за обновление. Процедуру установки исправлений лучше описать заранее, чтобы после релиза не тратить время на согласования. Официальные каналы команды PHP дают первичные сведения о версиях и сроках. Обходных мер вендор не публиковал, поэтому настройки, предложенные в сообществах, ничего не гарантируют. Исправленную сборку нужно установить сразу после публикации.
Анонс появился раньше технических деталей, и это обычная практика согласованного раскрытия. Пока официальное описание не опубликовано, основной риск связан с неопределённостью. Неизвестно, какие конфигурации уязвимы и насколько широк заявленный охват. Ясность появится 21 октября вместе с перечнем затронутых версий и исправлений.
Ссылки
- https://www.php.net/archive/2026.php#2026-10-20-1
- https://watchtowr.com/intelligence/php-cve-2026-109618-faq/
