Команда безопасности PHP предупреждает администраторов о необходимости подготовиться к экстренным обновлениям безопасности, которые появятся завтра и устранят две критические уязвимости. Сообщается, что информация об уязвимостях просочилась в сеть до запланированного раскрытия.
PHP используется во многих веб-сайтах и веб-приложениях, в том числе в системах управления контентом, платформах электронной коммерции и пользовательских веб-сервисах.
В рекомендательном сообщении, опубликованном во вторник, команда разработчиков PHP объявила, что планирует выпустить обновления для системы безопасности в среду, 21 октября, в 14: 00 UTC (10:00 утра по восточному времени) для устранения двух уязвимостей, каждая с рейтингом 9.2 в CVSS версии 4.0.
Команда безопасности PHP также отправила уведомление в свой список рассылки ANNOUNCE, призывая администраторов подготовиться к установке обновлений безопасности, как только они станут доступны.
«Мы оставляем за собой право опубликовать информацию раньше, если подробности об уязвимости станут достоянием общественности или если появятся свидетельства активного использования в дикой природе», — предупредила команда безопасности PHP.
Разработчики не раскрывают никаких технических подробностей об уязвимостях, в том числе о том, какие версии PHP затронуты, как их можно использовать и в каких релизах будут исправления.
Однако исследователи в области безопасности из watchTowr сообщили BleepingComputer, что уязвимости, обозначенные как CVE-2026-109618 и CVE-2026-109619, представляют собой ошибки, связанные с удаленным выполнением кода (remote code execution, RCE), которые, предположительно, затрагивают PHP версий 5, 6, 7 и 8.
«За последний час произошла утечка информации о двух уязвимостях, связанных с удаленным выполнением кода в PHP. Эти уязвимости ранее были под эмбарго и должны были быть обнародованы в четверг в 11:00 по восточному времени», — сообщил BleepingComputer генеральный директор watchTowr Бенджамин Харрис.
«Хотя по очевидным причинам мы не можем поделиться технической информацией, учитывая ее конфиденциальность, мы можем подтвердить, что эти уязвимости действительно существуют». Обе уязвимости имеют оценку CVSS10 и, как предполагается, затрагивают PHP версий 5, 6, 7 и 8».
watchTowr также сообщил, что, по его мнению, ему удалось воспроизвести CVE-2026-109618, но он не будет публиковать техническую информацию до тех пор, пока не будут выпущены исправления безопасности.
Исследователи уточнили, что не наблюдали случаев использования уязвимостей в реальных условиях, несмотря на то, что информация, как сообщается, просочилась в сеть до запланированного раскрытия.
В посте на X* компания watchTowr предупредила, что информация об уязвимостях просочилась в сеть до изначально запланированной даты раскрытия.
«Мы все должны были ждать до четверга, 11:00 по восточному времени. Утекла информация о нулевых уязвимостях в PHP. Мы можем подтвердить, что они реальны», — заявили исследователи.
Предупреждение последовало за удаленным постом на форуме Hacker News компании Y Combinator, в котором пользователь под ником petecooper утверждал, что 22 октября будут раскрыты две критические уязвимости PHP, связанные с удаленным выполнением кода.
В сообщении, которое увидел BleepingComputer, утверждалось, что обе уязвимости получили оценку CVSS 10,0 и затрагивают версии PHP, начиная с PHP 5.
Также было указано, что уязвимости имеют идентификаторы CVE-2026-109618 и CVE-2026-109619, что соответствует идентификаторам, которыми позже поделился watchTowr.
Однако заявления watchTowr и пост на Hacker News отличаются от официального заявления PHP. Оба описали уязвимости как CVSS 10.0, в то время как команда по обеспечению безопасности PHP присвоила каждой из них оценку CVSS v4.0 в 9,2 балла.
Кроме того, watchTowr сообщил, что изначально планировалось опубликовать информацию в четверг, в то время как PHP официально запланировал выпуск обновления безопасности на завтрашнее утро.
Команда по обеспечению безопасности PHP заявила, что опубликует полную техническую информацию, список затронутых версий и исправлений, когда обновления безопасности станут доступны.
