CERT-EU предупреждает о критических уязвимостях PHP

В PHP найдены какие-то ужасные уязвимости. На столько ужасные, что европейская команда реагирования на киберугрозы Европейского союза (CERT-EU) рекомендует тем, кто не может обновиться уйти оффлайн. Организация CERT-EU, отвечает за защиту институтов и органов ЕС. Они опубликовали рекомендацию вчера. То же самое сделали Австралийский центр кибербезопасности (ACSC). Двум новым уязвимостям присвоены идентификаторы CVE-2026-109618 и CVE-2026-109619, но пока по ним ничего не нашёл. Есть информация, что номера зарезервированы, но деталей уязвимостей не вижу. По шкале CVSS, используемой для оценки серьезности уязвимостей, обе они получили 9,2 балла из 10. Это реально что-то серьезное. Это может быть удаленное выполнения кода, инъекции и уязвимости должны легко эксплуатироваться. Но какие функции затронуты? Кто реально должен уйти оффлайн? В CERT-EU отметили, что проблема может затрагивать все версии PHP, начиная с 5-й (хотя этот вывод основан на обсуждениях в социальных сетях, а не на официальной информации от разработчиков PHP). Сами разработчики пока не уточнили, какие именно версии уязвимы и в каких релизах будут содержаться исправления — эти подробности станут известны вместе с выходом патчей. Команда безопасности PHP призывает пользователей подготовиться заранее и «установить обновления сразу же после их выхода». Информация об уязвимостях начала распространяться в сети еще в понедельник — до официальной даты их раскрытия. По сообщению компании Huntress, исследователи из фирмы по кибербезопасности watchTowr заявили, что им удалось воспроизвести одну из этих ошибок. В ответ на это разработчики PHP перенесли выпуск исправлений на день раньше, добавив, что могут выпустить их еще быстрее, если подробности об уязвимостях станут общедоступными или начнутся реальные атаки. На данный момент случаев эксплуатации уязвимостей не зафиксировано. Хостинг-провайдер GoDaddy предупредил, что эти уязвимости могут позволить злоумышленникам похищать данные, изменять содержимое веб-сайтов или получать полный контроль над серверами. Специалисты CERT-EU рекомендовали организациям выявить все используемые ими PHP-приложения и подготовиться к их одновременному обновлению (установке патчей). Глядя на доступную информацию, складывается ощущение, что нас ждёт конец света, ведь как только выйдет обновление безопасности, хакеры быстро вычислят, что именно было проблемой и если уязвимости реально страшные, то... Ну посмотрим, у нас реально что-то серьезное или журналисты нагнетают.