22 октября 2026 · Все новости
В PHP Foundation опубликовали отчёт о проблемах при устранении двух критических уязвимостей PHP2Shell (CVE-2026-109618 и CVE-2026-109619), которые могли привести к несанкционированному RCE (Remote Code Execution).
Ключевые факты:
1. Уязвимости могли привести к несанкционированному выполнению удалённого кода (RCE).
2. Исправления запланированы на вечер среды 21 октября 2026 года.
3. Проблема затрагивает все версии PHP, начиная с PHP 5.
4. Уязвимы все PHP-установки, обслуживающие веб-запросы.
5. Команда PHP выпустила корректирующие выпуски PHP 8.5.12, 8.4.27, 8.3.36 и 8.2.35, а также патчи для уже не поддерживаемых веток PHP 7.4, PHP 8.0 и PHP 8.1.
6. Уязвимости связаны с проблемами при работе с памятью.
7. Первая уязвимость связана с нехваткой памяти: при очистке запроса программа может обратиться к некорректным данным, что способно привести к удалённому выполнению кода.
8. Первая информация об уязвимости была получена в ходе внешнего аудита кода PHP в 2024 году.
9. Исправление уязвимостей затянулось из-за проблем с достижением консенсуса среди разработчиков PHP о способе устранения проблемы.
10. В PHP Foundation было начато реформирование процесса принятия решений для более оперативного реагирования в вопросах, связанных со сложными компромиссами.
Эти факты подчёркивают серьёзность ситуации и необходимость внимания к вопросам безопасности в PHP-сообществе.
Источник: Хабр
