21 октября 2026 года разработчики PHP выпустили экстренные обновления безопасности, устраняющие две критические уязвимости: CVE-2026-109618 и CVE-2026-109619.
Уязвимостям присвоен высокий уровень опасности: 9,2 из 10 по шкале CVSS.
⚠️ В чём опасность?
Обнаруженные уязвимости позволяют злоумышленникам при определённых условиях удалённо выполнять вредоносный код на веб-сервере без авторизации.
В результате атаки возможны:
- Несанкционированный доступ к данным сайта и его пользователей.
- Кража конфиденциальной информации.
- Изменение содержимого сайта или внедрение вредоносного кода.
- Нарушение работы сайта и серверной инфраструктуры.
Проблема затрагивает непосредственно PHP, поэтому потенциально уязвимыми могут оказаться сайты на 1С-Битрикс, WordPress, Joomla, Drupal и других системах, использующих PHP.
По информации специалистов по информационной безопасности, попытки эксплуатации уязвимостей уже зафиксированы.
🛡 Что рекомендуем сделать?
Если у вашей компании есть корпоративный сайт, интернет-магазин, личный кабинет или веб-портал, рекомендуем незамедлительно обратиться к подрядчику, ответственному за его разработку и техническое сопровождение, с просьбой:
1. Проверить используемую версию PHP и наличие уязвимостей.
2. Установить необходимые обновления безопасности.
3. Убедиться в отсутствии признаков компрометации веб-сервера.
Особое внимание следует уделить сайтам, работающим на устаревших версиях PHP.
Важно: обновление самой системы управления сайтом (CMS) не устраняет данные уязвимости. Необходимо обновление PHP на стороне сервера или хостинг-провайдера.
🔗 Официальная информация: https://www.php.net/archive/2026.php#2026-10-21-5