PHP предупреждает о планах в ближайшее время выпустить 2 экстренных патча.
Администраторы сайтов, приготовьтесь. Исправления для, как считается, необычайно серьезных уязвимостей должны появиться чуть более чем через 12 часов для PHP — языка программирования, который используется на веб-сайтах и в веб-приложениях по всему миру.
Разработчики PHP заявили в понедельник , что планируют выпустить исправления для двух уязвимостей, каждая из которых имеет рейтинг серьезности 9,2 из 10 возможных.
Ожидание PHP2Shell
«Всем пользователям PHP рекомендуется подготовиться уже сейчас, чтобы они могли обновиться, как только выйдет новая версия», — говорится в сообщении. «Мы оставляем за собой право выпустить обновление раньше, если станет известна информация об уязвимости или появятся доказательства активной эксплуатации».
Разработчики опубликовали предупреждение после утечки предполагаемых деталей, которые пока не подтверждены. В отчете было показано видео эксплойт-инструмента под названием PHP2Shell, выполняющего код на веб-серверах, работающих под управлением WordPress 7.1.3, MediaWiki 1.46.2, phpBB 3.3.17, Magento 2.4.9, Joomla 6.2.0, Laravel 13.36.0, Laravel 8.83.29, Symphony 8.1.9, Drupal 11.4.10 и WHMCS 9.0.9, все из которых используют PHP. Видео, демонстрирующее инструмент, было повторно опубликовано здесь .
Попытки найти неподтвержденное сообщение не увенчались успехом, но компания watchTowr, занимающаяся вопросами безопасности, заявила, что оно затрагивает все версии PHP, начиная с PHP 5, выпущенного в 2004 году. Компания также сообщила, что подтвердила подлинность уязвимостей, отслеживаемых как CVE-2026-109618 и CVE-2026-109619.
Исследователи из другой компании, занимающейся вопросами безопасности, Sansec, заявили, что «ожидают начала массовых атак в течение 15 минут после выпуска». Третья компания, Webfence, также призвала администраторов подготовиться уже сейчас. Huntress также выпустила предупреждение.
Этапы подготовки включают в себя определение ответственных за управление PHP в организации, инвентаризацию всех приложений, созданных на этом языке, планирование периода технического обслуживания, начинающегося в 14:00 UTC, с запасными планами на более раннее время, создание резервной копии файлов сайта и базы данных, а также мониторинг главной страницы PHP.net на предмет любых последних объявлений, включая более раннее время выпуска. Некоторые эксперты рекомендуют отключать от сети все некритичные системы до тех пор, пока они не будут обновлены.
PHP, как язык сценариев с открытым исходным кодом для создания динамических веб-сайтов и веб-приложений, стал де-факто строительным блоком для веб-технологий. Он используется в нескольких CMS-приложениях, помимо WordPress, а также лежит в основе многих внутренних инструментов. Один исследователь безопасности заявил, что , по оценкам, около 1,3 миллиона подключенных к Интернету хостов, вероятно, затронуты. Уязвимости такой серьезности, как описывается в предупреждениях, могут нанести серьезный ущерб всему Интернету. Администраторам следует помнить, что исправления могут быть выпущены в любой момент, и сохранять бдительность до их появления.