Администраторы сайта, будьте готовы. Исправления, которые считаются необычайно серьезными уязвимостями, планируется выпустить чуть более чем через 12 часов для PHP, языка программирования, на котором работают веб-сайты и веб-приложения повсюду.
В понедельник специалисты по поддержке PHP заявили, что планируют выпустить исправления для двух уязвимостей, обе с рейтингом серьезности 9,2 из 10 возможных.
Ожидание PHP2Shell
«Всем пользователям PHP рекомендуется подготовиться уже сейчас, чтобы они могли обновиться, как только релиз станет доступен», — говорится в сообщении. «Мы оставляем за собой право выпустить досрочный выпуск, если подробности об уязвимости станут общедоступными или если в дикой природе появятся доказательства активной эксплуатации».
Сопровождающие опубликовали предупреждение после утечки предполагаемых подробностей, которые еще не подтверждены. В отчете показано видео, на котором эксплойт-инструмент под названием PHP2Shell выполняет код на веб-серверах под управлением WordPress 7.1.3, MediaWiki 1.46.2, phpBB 3.3.17, Magento 2.4.9, Joomla 6.2.0, Laravel 13.36.0, Laravel 8.83.29, Symphony 8.1.9, Drupal. 11.4.10 и WHMCS 9.0.9, все из которых используют PHP. Здесь было размещено видео с изображением этого инструмента.
Попытки найти неподтвержденный отчет не увенчались успехом, но охранная фирма WatchTowr заявила, что она затрагивает все версии PHP, начиная с PHP 5, выпущенного в 2004 году. Далее охранная фирма заявила, что подтвердила, что уязвимости, отслеживаемые как CVE-2026-109618 и CVE-2026-109619, реальны.
