Уязвимости PHP позволяют выполнить код удалённо

Очередная дыра в безопасности (да, дальше следует шутка, что хоть что-то у нас в безопасности) — на этот раз PHP https://www.cyberkendra.com/2026/10/php-cve-2026-109618-cve-2026-109619-rce.html PHP2Shell: две дыры в ядре PHP утекли раньше патча Вчера на Hacker News появился пост: со ссылкой на надежный источник автор сообщил о двух уязвимостях удаленного выполнения кода в PHP, затрагивающих все версии начиная с пятой. Доказательств не было, пост скрыли, но скриншоты уже разошлись по X и Mastodon. Через пару часов watchTowr подтвердил: уязвимости настоящие. Эмбарго должно было закончиться только в четверг. Номера — CVE-2026-109618 и CVE-2026-109619, у обеих 9.2 по CVSS v4.0. Команда PHP перенесла релиз на сегодня, 16:00 по Берлину (17:00 по Москве). Технических деталей нет: какая функция или расширение уязвимы, неизвестно. Зато известно другое. Cloudflare утром сообщил о первых атаках и выкатил правила WAF. Sansec утверждает, что уязвим любой сервер с PHP 5.4 и новее, и ждет массовых атак через 15 минут после выхода патча: сравнить исправленный код со старым и понять, куда бить, — дело минут. В Нидерландах к обеду легли Tweakers, сайт парламента, NCSC и Security.NL. CERT-EU советует изолировать публичные PHP-приложения, если обновить их сразу нельзя. Обходного решения нет, только патч. Масштаб понятен: на PHP работают WordPress, Drupal, Magento и почти весь виртуальный хостинг. Исправления получит только PHP 8, причем поддерживаемые ветки. Пятерка и семерка давно сняты с поддержки, а серверов на них в сети по-прежнему полно. Им патча не будет. Отдельная история — сама утечка. Эмбарго нужно, чтобы дистрибутивы, хостеры и вендоры выпустили исправленные сборки одновременно с публикацией. Когда дата и критичность утекают заранее, все, у кого уже есть эксплойт, получают обратный отсчет. Сколько осталось до патча — знают все. У кого дыра на руках — не знает никто. Что делать прямо сейчас: проверить версию PHP на всех серверах, подготовить обновление к 16:00 и не ждать, пока хостер сделает это сам. Все, что крутится на PHP 5 и 7, — переводить на восьмую ветку или отключать от интернета.