Уязвимость PHP2Shell даёт возможность выполнить произвольный код на сервере без учётных данных. Oracle подтвердила её в нескольких продуктах линейки Communications и в Oracle Solaris. Исправления вышли внеплановым оповещением Security Alert, и перечень продуктов в нём будет пополняться по мере выхода патчей. Выпуски, которые Oracle больше не поддерживает, вендор не проверял, но допускает, что более ранние версии тоже уязвимы.
Оценка 9.8 и условия эксплуатации PHP2Shell
PHP - язык программирования для серверных веб-приложений, в затронутых продуктах он входит в состав разных компонентов. Атака идёт по сети через HTTP, а значит, и через защищённый HTTPS. Учётные данные не нужны, участие пользователя не требуется, сложность эксплуатации Oracle оценила как низкую. Оценка по CVSS, общей системе оценки уязвимостей, составляет 9.8 из 10.
Последствия успешной атаки высоки по всем трём признакам: можно прочитать данные, изменить их и нарушить работу сервиса. Оповещение выпущено под идентификатором CVE-2026-109618, и тот же патч закрывает CVE-2026-109619.
Патчи получили Oracle Communications Diameter Signaling Router, EAGLE Application Processor, EAGLE Element Management System, EAGLE LNP Application Processor, LSMS, Performance Intelligence Center, Unified Assurance и User Data Repository. Так, для Diameter Signaling Router уязвимы версии 8.6.0 и 9.0.0, для Oracle Solaris - версия 11, где затронут служебный компонент. Конкретные версии и ссылки на документы о доступности патчей приведены в самом оповещении. Патчи Oracle выпускает для выпусков на полной или расширенной поддержке, остальным она советует перейти на поддерживаемые версии.
Уведомление о наборе патчей шире и относит к затронутым также Fusion Applications и Middleware. Среди возможных последствий там названы раскрытие информации и обход ограничений безопасности. Оба оповещения вышли первыми редакциями, поэтому списки продуктов ещё будут меняться. Сведений об эксплуатации этих уязвимостей в реальных атаках Oracle не приводит, а публикация оповещения означает лишь доступность деталей и патчей. Обходных мер вендор не называет, поэтому основное действие - установить исправление по документу о доступности патчей.
JSSE и сертификаты eMudhra в Java
Второе оповещение Oracle посвятила CVE-2026-114820. Проблема в компоненте JSSE, реализации TLS в Java. TLS - протокол защищённых соединений. Исправление удаляет из Java набор корневых сертификатов удостоверяющего центра eMudhra, которым платформа доверяла. Оценка по CVSS - 9.1 из 10, атака идёт по сети без учётных данных и без участия пользователя. Затронуты Oracle Java SE, Oracle GraalVM for JDK и Oracle GraalVM Enterprise Edition.
В матрице риска перечислены уязвимые выпуски Java, среди них 8u511-b32, 8u511-perf-b32, 11.0.33.0.2, 17.0.21.0.2, 21.0.13.0.2, 25.0.5.0.2 и 27.0.1.0.2. Обновления вышли в сборках 8u511 b33, 11.0.33.0.3, 17.0.21.0.3, 21.0.13.0.3, 25.0.5.0.3 и 27.0.1.0.3. Скачать их можно на странице загрузок Java, для OpenJDK Oracle отсылает к jdk.java.net. По данным вендора, уязвимость можно использовать через программные интерфейсы компонента, например через веб-службу, которая передаёт в них данные.
Значимость у оповещений разная. PHP2Shell требует срочной установки патчей на Communications и Solaris, потому что атака не требует учётных данных и сразу даёт выполнение кода. Обновление Java меняет состав доверенных сертификатов, поэтому его лучше согласовать с приложениями, которые проверяют цепочки eMudhra.
Ссылки
- https://www.oracle.com/security-alerts/alert-cve-2026-109618.html
- https://www.oracle.com/security-alerts/alert-cve-2026-114820.html
