21 октября PHP выпустила версии 8.5.12, 8.4.27, 8.3.36 и 8.2.35 для устранения CVE-2026-109618 и CVE-2026-109619 — двух уязвимостей с оценкой 9,2 из 10, позволяющих выполнять код удаленно без аутентификации.

В связи с этими уязвимостями Финляндия, Нидерланды и Франция в качестве меры предосторожности отключили правительственные сайты после того, как технические детали стали известны раньше срока. Cloudflare также сообщила об атаках за несколько часов до выхода патча. АНБ США рекомендовало организациям, использующим PHP, отключить свои сайты, а ведомства Австралии, Японии и Великобритании выдали аналогичные рекомендации.

Большинству пользователей интернета не нужно ничего устанавливать. Ответственность за применение исправления лежит на владельцах сайтов, хостинг-компаниях и организациях, обслуживающих серверы PHP. Для версий PHP 8.1 и старше регулярные официальные выпуски не предусмотрены, хотя из-за серьезности проблемы команда безопасности PHP опубликовала ограниченные патчи исходного кода для некоторых старых версий.

По данным W3Techs, PHP работает примерно на 70% сайтов, для которых известен серверный язык программирования. Этот язык выполняется на серверах, где он обеспечивает хранение сайтов и генерацию запрашиваемых посетителями страниц. Например, сайты на WordPress, как правило, работают на серверах PHP, согласно компании Wordfence, занимающейся безопасностью WordPress (Wordfence).

Эти две ошибки позволяют злоумышленнику выполнять команды на сервере PHP без входа в систему. Такой тип уязвимости называется удаленным выполнением кода без аутентификации. В зависимости от сервера и хранящихся на нем данных успешная атака может привести к раскрытию данных учетных записей, адресов, истории заказов и другой конфиденциальной информации.

Хостинг-провайдер GoDaddy предупредил, что уязвимости могут позволить злоумышленникам похищать данные, искажать сайты или получать полный контроль над серверами.

«Подобная уязвимость может позволить злоумышленнику выполнять собственный код на затронутом сервере через интернет, что может привести к краже данных, искажению сайта или полному захвату», — говорится в обновлении по безопасности GoDaddy.

##ъявление PHP о безопасности

Фонд PHP, некоммерческая организация, финансирующая разработку языка, заранее предупредил об этом 20 октября. В заявлении, опубликованном в X, говорится:

«Команда безопасности PHP заранее уведомляет: предстоящий выпуск обновлений безопасности в среду, 21 октября 2026 г., 14:00 UTC, две критические уязвимости, обе с оценкой CVSSv4 9.2. Пользователям PHP рекомендуется подготовиться к обновлению. Более ранний выпуск в случае разглашения деталей или появления признаков активной эксплуатации».

Команда безопасности PHP заранее уведомляет: предстоящий выпуск обновлений безопасности в среду, 21 октября 2026 г., 14:00 UTC, две критические уязвимости, обе с оценкой CVSSv4 9.2. Пользователям PHP рекомендуется подготовиться к обновлению. Более ранний выпуск в случае разглашения деталей или появления признаков активной эксплуатации. — The PHP Foundation (@ThePHPF) 20 октября 2026 г.

Common Vulnerability Scoring System (CVSS) оценивает уязвимости по шкале от 0 до 10 с учетом таких факторов, как простота эксплуатации через интернет и потенциальный ущерб. Оценки от 9,0 и выше классифицируются как критические.

PHP выпустила исправление примерно в 13:35 UTC 21 октября, примерно на 25 минут раньше объявленного времени. В рекомендациях по безопасности сказано: «Всем пользователям PHP настоятельно рекомендуется немедленно обновиться». Выпуск был перенесен на день раньше после того, как информация об уязвимостях начала публично распространяться и появились свидетельства атак.

Как работают уязвимости

CVE-2026-109618 проявляется, когда PHP во время обработки запроса исчерпывает память, а затем воспринимает частично сформированные данные как завершенные. CVE-2026-109619 позволяет остаткам запроса одного посетителя оставаться в памяти после того, как их следовало удалить, что дает последующему запросу возможность взаимодействовать с этими остатками.

Риск наиболее высок на серверах с конфигурацией mod_php, распространенной в Apache. По данным PHP, продемонстрированный эксплойт срабатывает «до запуска любого кода приложения», то есть средства защиты самого сайта — такие как экраны входа и плагины безопасности WordPress — могут не успеть сработать.

Исследователи Фонда PHP определили функцию отслеживания загрузки (upload-progress) как один из подтвержденных путей проникновения. Эта функция отслеживает ход загрузки файлов, включена по умолчанию более десяти лет и используется лишь немногими сайтами.

Дополнительную техническую информацию можно найти в архиве безопасности PHP, анализе watchTowr и записи NVD для CVE-2026-109619. В документации PHP также описана соответствующая конфигурация сессий.

Утечка данных до выхода патча

Изначально раскрытие информации не ожидалось до запланированного выпуска. Во вторник пользователь форума Hacker News написал, что две уязвимости PHP будут раскрыты в четверг, признав при этом, что у утверждения «нет доказательств, кроме 'source: trust me, bro'». Сообщение доступно здесь.

Позже компания watchTowr подтвердила, что уязвимости реальны и находятся под эмбарго — соглашением о неразглашении технических деталей до готовности исправления. После этого PHP ускорила выпуск.

Технический директор Cloudflare Дейн Кнект заявил рано утром в среду в, что атаки уже начались — почти за шесть часов до выхода патча. Cloudflare развернула экстренные правила брандмауэра веб-приложений для своих клиентов, включая пользователей бесплатных тарифов, однако Кнект назвал эти правила лишь временной мерой.

«PHP-сайты за Cloudflare уже получили начальный набор правил WAF для известных векторов эксплуатации этих уязвимостей. Правила доступны всем клиентам, включая бесплатный тариф. Мы наблюдаем появление ранних атак и обновляем меры защиты по мере выявления новых векторов… — Дейн Кнект 🦭 (@dok2001) 21 октября 2026 г.»

Оригинальное сообщение также доступно в аккаунте Дейна Кнекта в X.

Правительства отключают сайты

Государственный ИТ-центр Финляндии Valtori начал в качестве меры предосторожности отключать публичные веб-сервисы, сообщила общественная телерадиовещательная компания Yle. Национальное агентство кибербезопасности Нидерландов также отключило свой сайт.

Министерство внутренних дел Франции сообщило, что сайты префектур были «временно отключены до выпуска обновления безопасности разработчиком фреймворка».

Группа реагирования на киберчрезвычайные ситуации ЕС CERT-EU рекомендовала организациям, не имеющим возможности установить патч, «рассмотреть изоляцию интернет-ориентированных приложений от публичных сетей до появления исправления».

По данным Reuters, аналогичные рекомендации выдали ведомства Австралии, Японии и Великобритании. В отчете Reuters также отмечалось, что сайты, возможно, придется отключать, пока операторы готовятся установить исправления.

Утверждения о затронутых версиях PHP

В сообщениях, распространявшихся в X, утверждалось, что уязвимы версии PHP «вплоть до 2004 года». Это утверждение восходит к ранним оценкам, согласно которым были затронуты все версии начиная с PHP 5; CERT-EU признал, что эта оценка основана на публикациях в социальных сетях.

Компания Sansec, занимающаяся безопасностью электронной коммерции, оценила диапазон как PHP 5.4 и новее, что отодвигает границу к 2012, а не 2004 году. Официальные актуальные выпуски PHP предоставляет только для версий 8.2 и новее. Однако из-за серьезности этих уязвимостей команда безопасности также опубликовала базовые патчи исходного кода для PHP 7.4, 8.0 и 8.1, а дистрибутивы Linux начали независимо переносить исправления (backporting).

Компания Mallory, специализирующаяся на безопасности, насчитала примерно 884 000 доступных из интернета хостов с PHP 8.1 или старше на 20 октября — это 59% из примерно 1,5 млн публично видимых хостов, раскрывающих свою версию PHP. Количество затронутых сайтов выше, поскольку один сервер виртуального хостинга может обслуживать множество сайтов. Исследование Mallory доступно здесь, а анализ Sansec — здесь.

В некоторых онлайн-публикациях в обсуждение также включали Node.js — отдельную веб-технологию, у которой на тот же день случайно пришлась собственная, не связанная с этим обновление безопасности.

Фонд PHP предупредил, что исправленные версии не станут доступны везде одновременно. В заявлении говорится: «Если вы полагаетесь на поддерживаемый волонтерами репозит мы настоятельно призываем вас перейти на пакеты дистрибутива или сборку из исходников прямо сейчас, чтобы вы могли немедленно применить обновления. Сегодня обновлений в репозитории не будет», — речь идет о популярном волонтерском источнике PHP-пакетов для Linux-серверов типа Red Hat. Репозиторий пакетов доступен по адресу

Возможное влияние на сайты и цифровые активы

Компрометация сайта не требует прямого взаимодействия с блокчейном, чтобы поставить цифровые активы пользователей под угрозу. В 2024 году злоумышленники перенаправили фронтенды DeFi-протоколов Compound и Celer на страницы, предназначенные для опустошения подключенных кошельков. В 2025 году аналогичной атаке подверглась Curve Finance. В тех инцидентах использовался перехват DNS, а не уязвимости PHP, но для посетителя результат может выглядеть схоже: сайт и URL выглядят легитимно, а действие подтверждения отправляет токены в другое место.

Компрометированный сервер PHP может быть использован для показа подобной мошеннической страницы. Связь между уязвимой веб-инфраструктурой и кражей криптовалют также обсуждал предприниматель @levelsio, заявивший в X, что он отключил свои сайты и виртуальные частные серверы на время ожидания патча.

«Я заблаговременно отключил ВСЕ свои сайты / VPS-серверы от интернета. Буду ждать патча в 14:00 UTC. Если у вас есть PHP-сайт, вероятно, стоит снять его с доступа, пока вы не обновите PHP. 69,3% интернета работает на PHP, так что будет жарко! Возможно, хорошее время, чтобы купить… — @levelsio (@levelsio) 21 октября 2026 г.»

Сообщение также доступно в X. Прежние материалы Decrypt об инциденте с Compound и Celer и атаке на Curve доступны здесь и здесь.

Эти уязвимости появились на фоне все более активного использования передовых моделей искусственного интеллекта для выявления программных ошибок. Эксперты рассказали Decrypt в июне, что распространение таких инструментов может привести к обнаружению значительно большего числа уязвимостей. Отчет Decrypt доступен здесь.

Что делать владельцам сайтов

После публикации патча злоумышленники могут сравнить уязвимый и исправленный код, чтобы точно определить, что было изменено. Судебно-техническая команда Sansec заявила, что ожидает «начала массовых атак в течение 15 минут после выпуска». Когда в июне 2024 года была раскрыта другая уязвимость PHP, Akamai зафиксировала попытки эксплуатации своих ловушек (decoy-серверов) в течение 24 часов. Анализ Akamai доступен здесь.

Телефонам, браузерам и персональным ноутбукам обновление PHP не требуется. Работа ложится на организации, управляющие сайтами и серверами. Владельцам сайтов следует спросить своих хостинг-провайдеров, обновлен ли PHP, и выяснить, кто отвечает за обслуживание сервера.

Wordfence предупредила, что автоматические обновления WordPress не применят это исправление. Поэтому владельцам сайтов нужно убедиться, что обновлен сам PHP, а не полагаться на то, что обновление WordPress решит проблему.

Разработчик ядра PHP Джина Питер Баньярд сказала в Mastodon: «Единственное, что я могу сказать: единственная мера защиты — это патчинг / обновление PHP», добавив: «Я, к сожалению, знаю слишком много». Сообщение доступно здесь.

Организациям, использующим PHP 8.1 или старше, необходиморовать обновление, поскольку эти версии не получают регулярных официальных выпусков. Пользователям PHP 8.2 также грозит приближающийся срок: PHP 8.2 достигает конца жизненного цикла 31 декабря 2026 года, после чего перестанет получать патчи безопасности.