Проект PHP выпустил в среду, 21 октября 2026 года в 14:00 UTC, версии 8.5.12, 8.4.27, 8.3.36 и 8.2.35 своего языка программирования. Они исправляют две уязвимости, CVE-2026-109618 и CVE-2026-109619, оцененные в 9,2 балла по шкале CVSS v4.0, которые могут позволить выполнение кода удаленно без аутентификации. Идентификатор CVE обозначает зарегистрированную уязвимость безопасности, а оценка CVSS измеряет её серьёзность.
По данным разработчика, все установки, обслуживающие веб-запросы, подвержены риску при использовании PHP-FPM, Apache с mod_php, php-cgi, FrankenPHP или LiteSpeed, причём самый высокий риск оценивается с mod_php. В тот же день CERT-FR обновил своё предупреждение CERTFR-2026-ALE-014, а Министерство внутренних дел закрыло свои уязвимые сайты, включая префектуры. Хронология, опубликованная PHP Foundation, указывает, что дефект, лежащий в основе первой уязвимости, был идентифицирован ещё в 2024 году, без известного вектора эксплуатации.
Дефект, обнаруженный во время аудита 2024 года
В 2024 году PHP проходит свой первый внешний аудит безопасности за много лет. Финансируемый немецким Sovereign Tech Agency, организованный OSTIF и проведённый французской компанией Quarkslab, этот аудит приводит разработчика ядра PHP к обнаружению, при исправлении одной из выявленных проблем, первых признаков дефекта, связанного с ошибками исчерпания памяти (out-of-memory). Эксплуатация тогда была теоретизирована, но без конкретного вектора.
Затем исправление столкнулось с компромиссами. Каждый рассматриваемый подход нарушал обратную совместимость, создавал риск отказа в обслуживании или требовал изменений во многих сторонних расширениях, которые невозможно было скоординировать. Команда безопасности, принимающая решения консенсусом, наблюдала, как работа над исправлением «неоднократно останавливалась и перезапускалась в течение месяцев». Фонд пишет, что «задержка была структурным провалом», вызванным таким режимом принятия решений и нехваткой ресурсов.
Calif, OpenAI и Wiz: лето демонстраций
В рамках программы Patch the Planet компания Calif начинает аудит PHP 30 июля 2026 года. 11 августа её исследователь Райан А. сообщает об удалённом выполнении кода без условий, с той же корневой причиной, что и дефект 2024 года. OpenAI, чью команду Codex Security благодарит фонд, сообщает о той же причине в тот же день. Wiz Research следует 24 августа с другими векторами атаки. Начиная с 11 августа, пишет фонд, исправление становится приоритетом для всей его команды безопасности.
Wiz сообщает, что использовала свой инструмент Wiz Atlas, Gemini 4 Argon от Google и GPT-5.6 Sol от OpenAI. Её хронология относит обнаружение первой уязвимости к 19 августа, подтверждение выполнения кода — к 20 августа на Drupal и к 21 августа на WordPress, а уведомление PHP — к 24 августа. По словам компании, один исследователь с помощью этих моделей завершил за неделю то, что заняло бы месяцы у ведущей команды. Фонд также отмечает 15 опубликованных CVE с 1 июля и более 100 отклонённых сообщений как недействительные, дубликаты или невоспроизводимые.
Выпуск был запланирован на 22 октября. 20 октября около 15:00 UTC два идентификатора CVE начали распространяться на форумах и в социальных сетях с неверным временем выпуска и ложной оценкой CVSS в 10 баллов. По данным фонда, никакие технические детали не утекли. PHP перенёс своё предварительное уведомление и выпуск на 21 октября. Chainguard опубликовал 21 октября в 7:41 UTC образы с исправлением более чем за шесть часов до выпуска, что фонд называет односторонним нарушением эмбарго.
Изолировать, затем мигрировать — рекомендация CERT-FR
CERT-FR перечисляет как уязвимые все версии 5.x, 6.x, 7.x, 8.0.x и 8.1.x, а также ветки 8.2–8.5, предшествующие исправленным версиям. Для веток, которые разработчик больше не поддерживает, он рекомендует изолировать оборудование, а затем перейти на поддерживаемую версию. Временные обходные решения в конфигурации PHP или на межсетевом экране приложений не оцениваются CERT-FR. По данным ANSSI, более 600 000 серверов используют PHP во французском интернете. Министерство внутренних дел перевело свои уязвимые сайты в режим профилактического обслуживания, согласно заявлению, переданному AFP. 22 октября в 8:33 по парижскому времени сайт CNIL и impots.gouv.fr отображали страницу обслуживания, как и сайт префектуры Сен-Сен-Дени. Ни одна из этих страниц не упоминает PHP.
Cloudflare сообщает, что наблюдала атакующий трафик, нацеленный на её клиентов, и что злоумышленники изменяли свои запросы, чтобы обойти её правила фильтрации. По данным фонда, на момент публикации не было идентифицировано ни одного рабочего эксплойта. На указанную дату ни один из цитируемых источников не сообщает об успешном вторжении.
Поддерживаемые версии получили исправление в день раскрытия. Основной риск касается серверов, всё ещё работающих на PHP 8.1 или более ранних версиях, которые проект больше не обновляет. Для PHP 7.4, 8.0 и 8.1 её команда безопасности предоставила минимальные обратные порты, предназначенные для тех, кто компилирует из исходников. PHP Foundation призывает компании, хостинг-провайдеров и государственные учреждения, которые полагаются на PHP, финансировать её, поскольку безопасность движка, как она пишет, всё ещё зависит от «небольшой группы разработчиков, финансируемых фондом, и небольшой волонтёрской помощи».
