В PHP две критические RCE — сайт можно взломать без логина

Проект PHP выпустил версии 8.5.12, 8.4.27, 8.3.36 и 8.2.35: уязвимости CVE-2026-109618 и CVE-2026-109619 дают возможность выполнить код на веб-сервере без учётной записи. Наибольший риск — Apache с mod_php, где атака срабатывает до кода сайта.

В России на PHP работают WordPress, «1С-Битрикс» и сайты на виртуальном хостинге. CERT-EU сообщает, что прототипы атаки уже публичны, а Check Point фиксирует рост попыток эксплуатации до миллионов запросов.

Что сделать:
• Обновите PHP до 8.5.12, 8.4.27, 8.3.36 или 8.2.35 — только обновление закрывает дыру полностью.
• Проверьте версию в панели хостинга или командой php -v.
• Если патч недоступен сразу, примените временные ограничения с php.net и обновитесь при первой возможности.

Источник: Php