Команда разработчиков PHP опубликовала исправления двух критических уязвимостей и раскрыла подробности
Как ранее сообщалось, в языке программирования PHP выявили две критические уязвимости CVE-2026-109618 и CVE-2026-109619 (оценка 9,2 из 10), позволяющие удаленно захватывать серверы без пароля. Команда разработчиков PHP опубликовала корректирующие выпуски PHP 8.5.12, 8.4.27, 8.3.36 и 8.2.35, а также патчи для уже не поддерживаемых веток PHP 7.4, PHP 8.0 и PHP 8.1, в которых исправлены две критические уязвимости:
1) Удалённое выполнение кода из-за ошибки нехватки памяти (OOM): обработка ошибки нехватки памяти может прервать работу PHP, пока внутренние данные запроса инициализированы лишь частично. В этом случае очистка запроса может рассматривать недействительные данные как действительные.
2) Удалённое выполнение кода из-за устаревшего глобального состояния: внутреннее состояние, принадлежащее запросу, может сохраняться после освобождения памяти, в которой оно хранится. Более поздний запрос, обработанный тем же рабочим процессом, может использовать это устаревшее состояние до того, как обычная инициализация сбросит его.
Тем временем из-за угрозы массовых атак в Европе и России экстренно отключили сотни тысяч сайтов - ведь на PHP работают WordPress, Drupal, Joomla, Magento и многие государственные и корпоративные порталы. Например:
* В Финляндии временно приостановили работу всех общедоступных государственных онлайн-сервисов.
* Во Франции ряд госсайтов (префектур, полиции Парижа, центробанка, налогового управления, национальной метеослужбы) перевели в режим техобслуживания.
* В Германии и Австрии стали недоступны сайты некоторых университетов.
* Правительство Великобритании выпустило предупреждение: системам, использующим PHP, рекомендовали срочно проверить признаки вредоносной активности.
https://www.php.net/archive/2026.php#2026-10-21-5
https://www.bloomberg.com/news/articles/2026-10-21/governments-take-websites-offline-after-php-security-warnings
Как ранее сообщалось, в языке программирования PHP выявили две критические уязвимости CVE-2026-109618 и CVE-2026-109619 (оценка 9,2 из 10), позволяющие удаленно захватывать серверы без пароля. Команда разработчиков PHP опубликовала корректирующие выпуски PHP 8.5.12, 8.4.27, 8.3.36 и 8.2.35, а также патчи для уже не поддерживаемых веток PHP 7.4, PHP 8.0 и PHP 8.1, в которых исправлены две критические уязвимости:
1) Удалённое выполнение кода из-за ошибки нехватки памяти (OOM): обработка ошибки нехватки памяти может прервать работу PHP, пока внутренние данные запроса инициализированы лишь частично. В этом случае очистка запроса может рассматривать недействительные данные как действительные.
2) Удалённое выполнение кода из-за устаревшего глобального состояния: внутреннее состояние, принадлежащее запросу, может сохраняться после освобождения памяти, в которой оно хранится. Более поздний запрос, обработанный тем же рабочим процессом, может использовать это устаревшее состояние до того, как обычная инициализация сбросит его.
Тем временем из-за угрозы массовых атак в Европе и России экстренно отключили сотни тысяч сайтов - ведь на PHP работают WordPress, Drupal, Joomla, Magento и многие государственные и корпоративные порталы. Например:
* В Финляндии временно приостановили работу всех общедоступных государственных онлайн-сервисов.
* Во Франции ряд госсайтов (префектур, полиции Парижа, центробанка, налогового управления, национальной метеослужбы) перевели в режим техобслуживания.
* В Германии и Австрии стали недоступны сайты некоторых университетов.
* Правительство Великобритании выпустило предупреждение: системам, использующим PHP, рекомендовали срочно проверить признаки вредоносной активности.
https://www.php.net/archive/2026.php#2026-10-21-5
https://www.bloomberg.com/news/articles/2026-10-21/governments-take-websites-offline-after-php-security-warnings