PHP предупреждает, что планирует в ближайшее время выпустить два экстренных патча

Администраторы сайта, будьте готовы. Исправления, которые считаются необычайно серьезными уязвимостями, планируется выпустить чуть более чем через 12 часов для PHP, языка программирования, на котором работают веб-сайты и веб-приложения повсюду.

В понедельник специалисты по поддержке PHP заявили, что планируют выпустить исправления для двух уязвимостей, обе с рейтингом серьезности 9,2 из 10 возможных.

Ожидание PHP2Shell

«Всем пользователям PHP рекомендуется подготовиться уже сейчас, чтобы они могли обновиться, как только релиз станет доступен», — говорится в сообщении. «Мы оставляем за собой право выпустить досрочный выпуск, если подробности об уязвимости станут общедоступными или если в дикой природе появятся доказательства активной эксплуатации».

Сопровождающие опубликовали предупреждение после утечки предполагаемых подробностей, которые еще не подтверждены. В отчете показано видео, на котором эксплойт-инструмент под названием PHP2Shell выполняет код на запущенных веб-серверах:

• WordPress 7.1.3
• МедиаВики 1.46.2
• phpBB 3.3.17
• Магенто 2.4.9
• Джумла 6.2.0
• Ларавел 13.36.0
• Ларавел 8.83.29
• Симфония 8.1.9
• Друпал 11.4.10
• ВГМКС 9.0.9

Все вышеперечисленное использует PHP. Здесь было размещено видео с изображением этого инструмента.

Попытки найти неподтвержденный отчет не увенчались успехом, но охранная фирма WatchTowr заявила, что она затрагивает все версии PHP, начиная с PHP 5, выпущенного в 2004 году. Далее охранная фирма заявила, что подтвердила, что уязвимости, отслеживаемые как CVE-2026-109618 и CVE-2026-109619, реальны.