Угроза критических уязвимостей и первые атаки
Команда безопасности PHP выпустила официальное предупреждение для администраторов веб-серверов о выходе срочных исправлений. Релиз патчей намечен на 21 октября 2026 года в 14:00 UTC (10:00 ET). Информации о багах изначально присвоен гриф секретности, однако сведения утекли в сеть раньше времени. Обеим проблемам присвоен индекс 9.2 по шкале CVSS v4.0.
Разработчики предупреждали, что выпустят обновления раньше графика, если начнется активная эксплуатация. Технический директор Cloudflare Дейн Нехт сообщил, что компания уже фиксирует зарождающиеся атаки на обслуживаемые PHP-сайты и внедряет временные правила файрвола для сдерживания угроз. Аналитики компании Sansec прогнозируют начало массовых сканирований и атак в течение 15 минут после публикации релизов.
Масштаб проблемы и затронутые платформы
Исследователи watchTowr отслеживают проблемы под идентификаторами CVE-2026-109618 и CVE-2026-109619. По их данным, критические ошибки удаленного выполнения кода (RCE) затрагивают все версии начиная с ветки PHP 5. По оценкам исследователей, в зоне риска находятся свыше 1,3 миллиона подключенных к интернету хостов.
Поставщик решений безопасности Wordfence отметил, что угроза распространяется на все сайты под управлением WordPress, так как они функционируют на серверах с PHP. В Wordfence также подчеркнули, что патч нельзя применить через стандартные автообновления CMS: владельцам ресурсов придется обновлять саму среду PHP на сервере вручную.
Реакция регуляторов и защитные меры
Европейский центр реагирования на инциденты (CERT-EU) и Национальный центр кибербезопасности Великобритании (NCSC) выпустили рекомендации для компаний. Организациям, которые не могут сразу установить патчи, советуют полностью изолировать веб-приложения от внешних сетей или временно выключить серверы. Разработчик PHP Джина Питер Баньярд подтвердила, что обновление остается единственным способом устранения угрозы, а временное отключение систем может стать оправданным шагом. В качестве меры предосторожности команда операционной системы GrapheneOS уже временно отключила свой пользовательский форум.
Обеспечение защиты веб-серверов требует быстрой реакции системных администраторов, аналогично тому, как проводится обновление GitLab AI Gateway для устранения уязвимости RCE или устраняются проблемы через бреши в Citrix NetScaler.
Что это значит для вас
Если вы администрируете сайты или серверы на базе PHP, включая проекты на WordPress, подготовьтесь к ручной установке исправлений сразу после их выхода. Автоматические обновления CMS уязвимость не устранят. Если возможности оперативно обновить серверное ПО нет, профильные агентства рекомендуют временно ограничить доступ к ресурсам из публичной сети во избежание взлома. Информации о доступности продуктов в России в источниках нет.
