PHP закрыл два критических RCE 21 октября
PHP Foundation выпустила внеплановый патч: две уязвимости удалённого выполнения кода, CVE-2026-109618 и CVE-2026-109619, обе с оценкой CVSS v4.0 9.2. Релиз ускорили из-за утечки деталей до публичного раскрытия.
21 октября 2026 года в 14:00 UTC PHP Foundation выпустила внеплановый security-релиз, закрывающий две критические уязвимости в ядре PHP — CVE-2026-109618 и CVE-2026-109619. Обе получили оценку CVSS v4.0 9.2 и классифицированы как удалённое выполнение кода (RCE). Команда предупредила о релизе заранее, а затем независимое подтверждение и разбор impact опубликовала runZero — компания, специализирующаяся на инвентаризации и оценке уязвимостей сетевых активов.
Что случилось
Команда безопасности PHP Foundation анонсировала релиз заранее, предупредив, что если детали уязвимостей станут публичными раньше или появятся свидетельства активной эксплуатации, патч выйдет досрочно. Так и произошло частично: по сообщениям исследователей, информация о CVE-2026-109618 и CVE-2026-109619 начала просачиваться в профильные каналы ещё до официального релиза, что подтолкнуло команду зафиксировать дату и не откладывать выпуск.
Что именно уязвимо
Обе уязвимости находятся в ядре PHP, а не в отдельном расширении, поэтому затрагивают широкий круг приложений вне зависимости от фреймворка. Полные технические детали — какие именно компоненты парсинга и какие сценарии вызова приводят к RCE — PHP Foundation раскрыла вместе с релизом патча, а не заранее, стандартная практика для критичных уязвимостей с высоким риском. Патчи подготовлены для поддерживаемых веток PHP 8.x; проекты на уже снятых с поддержки версиях 7.x патча не получат и фактически остаются уязвимы постоянно.
Почему срочнее обычного
Обычный цикл security-релизов PHP — ежемесячный, по графику. Этот патч внеплановый именно из-за утечки: разрыв между тем, когда у потенциального атакующего появляется достаточно информации для эксплойта, и тем, когда у защищающейся стороны есть патч, сжимается до часов, а не недель. Для продакшен-систем на PHP это тот редкий случай, когда «обновим в следующем спринте» — не рабочая стратегия: CVSS 9.2 означает практическую эксплуатируемость без сложных предусловий.
Что делать прямо сейчас
- Проверить версию PHP на всех продакшен- и staging-окружениях и сверить с фиксированными версиями из официального релиза
- Обновиться на патч-релиз немедленно там, где это возможно без длительного regression-тестирования
- Если быстрое обновление невозможно (legacy-стек, несовместимые зависимости) — временно ограничить внешний доступ к наиболее рискованным эндпоинтам и запланировать миграцию
- Для проектов на PHP 7.x, которые физически не могут получить патч, — честно оценить риск и сроки перехода на поддерживаемую ветку
Для команд без выделенного security-инженера быстрее и надёжнее не разбираться с патчем в одиночку, а привлечь внешних специалистов: независимый аудит кода и обновление зависимостей по чек-листу мы уже разбирали в материале о практиках работы с Composer. Если же продакшен-приложение давно не обновлялось и обрастает техническим долгом настолько, что патчи стало страшно накатывать, разумный шаг — обратиться к команде, которая системно ведёт сопровождение и доработку веб-приложений: например, команда YUSMP Group как раз закрывает такие задачи — от срочного патчинга до планового рефакторинга устаревшего стека.
