Розробники мови програмування PHP попереджають адміністраторів вебсайтів про необхідність підготуватися до встановлення двох екстрених патчів безпеки. Обидві вразливості отримали надзвичайно високу оцінку серйозності — 9,2 бала з 10 можливих.
Команда розробників повідомила про плани випустити оновлення після появи інформації про можливий витік даних. Зокрема, у мережі демонстрували роботу інструмента під назвою PHP2Shell, який нібито здатний виконувати код на серверах під управлінням популярних платформ на базі PHP, таких як WordPress, MediaWiki, phpBB, Magento, Joomla, Laravel, Symfony, Drupal та WHMCS.
Фахівці з кібербезпеки з компанії watchTowr підтвердили реальність існування цих вразливостей, яким присвоєно ідентифікатори CVE-2026-109618 і CVE-2026-109619. За оцінками дослідників, проблема може зачіпати всі версії PHP, починаючи з п’ятої, випущеної ще у 2004 році. Представники компанії Sansec припускають, що масові атаки можуть розпочатися вже за п’ятнадцять хвилин після публікації патчів.
Автори PHP залишають за собою право випустити оновлення раніше запланованого часу, якщо деталі вразливостей стануть повністю публічними або з’являться докази їхнього активного використання зловмисниками. Адміністраторам радять заздалегідь інвентаризувати свої застосунки, створити резервні копії та стежити за офіційними оголошеннями на сайті PHP.net.
Джерела: arstechnica.com
