JuiQbmn Oct 20 at 23:52

Критическая уязвимость в PHP

1 min

34K

Information Security * PHP *

+40

Comments 44

JetMaster Oct 21 at 02:32

psload Oct 21 at 03:28

Да! Есть такая инфа. Я тоже читал на зарубежных ресурсах. Сами так называемые уязвимости(усл.об.: CVE-2026-109618,CVE-2026-109619). Это подразумевает, что при, так сказать, успешной атаке, злоумышленник мог выполнить свой код на сервере со сценариями PHP. Возможные затронутые версии PHP - 5, 6, 7 и ой, ой и даже 8. Почему сказано, что экстренный? Да, потому- что инфа об уязвимостях утекла в сеть раньше запланированного срока раскрытия- вот это интересно не правда ли? :)) . Кто слил инфу :)? Кто кто. Описывается что полного понимания нету кто. Описывается, что уязвимости действительно реальны, и даже воспроизвели одну из них (CVE-2026-109618), но по понятным причинам не опубликовали технические детали до выхода патчей(это и понятно). Во что есть: параллельно в сети появился пост на форуме Hacker News (в пуле Combinator). Пользователь под ником petecooper написал, что 22 октября должны раскрыть две критические уязвимости PHP типа RCE, кстати описывал те же CVE и высоко оценил серьёзность , но позже этот пост удалили. Что ещё есть: несмотря на утечку данных, какие то исследователи(не помню), не наблюдали реальной эксплуатации этих уязвимостей в момент публикации. То есть информация ушла в сеть раньше срока, но массовой атаки «в дикой природе» :) на тот момент не было. Ну, успокоили... Спасибо! будем следить и это познавательно...

m0tral Oct 21 at 20:42

не знаю не знаю, как раз последние пару недель наблюдал странные OOM fpm на 8.1, а потом поднятый danted, который с моего VPS участвовал в атаке на чей то сайт, благо хостер мониторит и сразу рубит такую шляпу.

rumours86 Oct 21 at 06:15

Назад в будущее?

21 октября 2026 года в 14:00 UTC, команда разработчиков PHP

Baton34 Oct 21 at 06:49

21 октября 2026 года в 14:00 UTC, команда разработчиков PHP выпустит экстренное обновление безопасности для устранения двух критических уязвимостей.

https://www.opennet.ru/opennews/art.shtml?num=66516

rumours86 Oct 21 at 07:07

Да, спасибо, уже разобрался, комент не могу удалить, но в статье всё равно криво написано "выпускает" будто прямо сейчас, хотя до релиза ещё 7 часов

digrobot Oct 21 at 08:20

В сети уже открыто лежит эксплойт. Как временное решение, рекомендуют
session.upload_progress.enabled = Off

dartraiden Oct 21 at 08:42

Этого не достаточно.

Стоит заблокировать multipart-запросы на уровне веб-сервера.

SlavikF Oct 21 at 14:21

Я использую Docker + Traefik.

Я заблокировал все POST:

      labels:
        - "traefik.enable=true"
        - "traefik.http.routers.aidcim.rule=(Host(`example.org`) || Host(`www.example.org`)) && !Method(`POST`)"

DMGarikk Oct 21 at 14:33

Я заблокировал все POST:

выдерни шнур выдави стекло

denis-19 Oct 21 at 09:02

PHP CVE-2026-109618 и CVE-2026-109619: первоочередные меры защиты

icon-of-sin Oct 21 at 09:39

Прям как в старые добрые 2000е, когда в пыхе каждый месяц находили remote exec . Непонятно что все всполошились, в 2026м на пыхе только неуловимые джо сидят (а их уже давно киддисы выпотрошили через дырявый битрикс)

antropophob Oct 21 at 10:07

40% сайтов на wordpress нервно икнули (а среди них и сайт белого дома, и блог sony, и ibm, и techcrunch)

icon-of-sin Oct 21 at 11:02

>сайт белого дома, и блог sony, и ibm, и techcrunch

перепись неудачников, которые не смогли вкатиться в ИТ? ibm кстати в списке лишний. sony возможно тоже.

IBM operates IBM Developer Blog, which publishes technical articles and tutorials. However, the official page alone does not establish that it uses WordPress, and I couldn't verify the current CMS with sufficient confidence.

Sony's blog — DEPENDS ON WHICH BLOG

milkground Oct 21 at 11:50

Вот ещё список неудачников:

https://blog.nginx.org
https://blog.mozilla.org
https://thewaltdisneycompany.com
https://www.salesforce.com
https://www.logitech.com/blog/
https://blog.playstation.com/

Это только те неудачники, которых я нашёл при беглом поиске. Уверен, что их намного больше. Не смогли вкатиться в ИТ, ну и поделом им, все давно о них забыли.

ksbes Oct 21 at 12:01

IMDB - вообще на Перле, если я правильно помню. Так что пых-пых это, даже, продвинуто как-то!

icon-of-sin Oct 21 at 14:24

всё перечисленное бложики и визитки. ценность данных примерно ноль.

icon-of-sin Oct 21 at 15:04

и чем они выделяются из 40% ~~отбросов~~ неуловимых потребителей пыхпых в инторнетах?

ещё можно список ~~помоек~~ любителей битрикс24 сюда кинуть. это сразу же докажет что WP и bitrix не шлак для жадных недоИТшников.

becefi Oct 21 at 15:10

тру-айтишники пишут сайты на руби и питоне? ))

AWE64 Oct 21 at 16:31

на свифте

BiTL Oct 22 at 04:13

в Word'e, их точно не взломаешь!

xmpi Oct 21 at 17:22

в наше время агентов гнать на поддерживаемый и обновляемый php даже более кринжово, чем в своё время было им пользоваться.

DeadGood Oct 21 at 20:50

php c 2000 продвинулся очень далеко. Шутят о нем исключительно люди, которые там же, в 2000е и застряли.

icon-of-sin Oct 22 at 07:23

>В Европе временно отключили сайты госорганов

труъ ынтырпрайз11111!!

давайте ещё минусов, пых-обезьянки.

DMGarikk Oct 22 at 07:37

Сайты госорганов этот нифига не энтерпрайз, это зачастую кривокосое поделие сделанное сотней подрядчиков с квалификации джунов и оплаченных как команда сеньоров

И да, за бугром так тоже, если не хуже

becefi Oct 23 at 04:21

в школу не пора?

Alosxkj Oct 21 at 09:47

строго засекречена

))

some_dude Oct 21 at 11:45

https://www.vincentschmalbach.com/cve-2026-109618-and-cve-2026-109619-what-you-should-do-now/
Есть и разбор, и митигейшен.

unsec Oct 21 at 13:42

https://php2shell.ru - методы защиты от PHP2Shell и ссылки на патчи, информация обновляется.

Hint Oct 21 at 12:08

Обсуждение в issue deb.sury.org, откуда многие устанавливают php:
https://codeberg.org/oerdnj/deb.sury.org/issues/145
Обещает публиковать пакеты по мере завершения сборки (сначала amd64, затем ARM). При этом говорит, что сборщик не успеет собрать всё быстро (сроков не называет).

xenon Oct 21 at 13:33

Чует мое сердце, мы на пороге грандиозного шухера!
Я и heartbleed пережил и другие громкие уязвимости, но не помню, чтобы анонсировали время публикации патча. Предполагаю:
- Пока что про уязвимость знают некоторые и ломают. Но пока лишь некоторые - все еще более-менее терпимо.
- Когда выйдут патчи, по патчам легко будет понять, где уязвимость
- Нейронки за 10 минут напишут эксплойты
- Через 20 минут их зальют на сервера и запустят в многопоточном режиме
- К утру четверть интернета уже взломают....

Спускай своих борзых
Спускай с цепей
Пускай скорей начнутся
Игры зверей!

german25avenue Oct 21 at 14:58

Да уже по Европе прокатились отключения сайтов всяких вузов и ведомств.

MrB4el Oct 21 at 15:04

https://cert.europa.eu/publications/security-advisories/2026-018/

Потому что официальное предписание вышло

Heggi Oct 21 at 14:03

В репах Debian 13 появились пакеты с версией 8.4.27-1~deb13u1

TheRaven Oct 21 at 16:18

в Debian 12 начали появляться тоже

skovpen Oct 21 at 14:13

How to update:

Update to PHP 8.5.12, 8.4.27, 8.3.36 or 8.2.35. Source downloads are on our downloads page. Windows source and binaries are on the same page.
Linux distributions and LTS vendors received the patches in advance, so check your vendor for updated packages.
PHP 8.1 and older no longer receive updates from the PHP project. Some distributions and LTS vendors provide backported fixes, so contact your vendor for details, or upgrade to a supported version.
If you rely on the volunteer-maintained rpms.remirepo.net, we urge you to switch to distribution packages or build from source, so you can immediately apply updates. The repo will not have updates today.
Given the severity of these vulnerabilities, the PHP security team provided minimal source-backports for PHP 7.4, PHP 8.0, and PHP 8.1 to help people building from source or without access to an LTS vendor.

Привет legacy :-)

zartdinov Oct 21 at 14:30

Спасибо, ждем теперь еще образы докера

molareg497 Oct 21 at 15:49

Пишут что чатгпт нагнал страху а по факту уровень не выше 5.2 согласно исследователю одному , нет там RCE якобы, ну или ждем стороннее мнение...

Vindicar Oct 21 at 16:08

Вот будет смешно, если панику подняли, чтобы под шумок воткнуть RCE в "пропатченные" версии и заставить всех их поставить.

Alaska Oct 21 at 16:16

https://paragraf152.ru/pulse/tehnologii/php

Vindicar Oct 21 at 20:10

Пардон... и? Пока что я вижу, что под необходимость обновления попадают порядка 99,2% сайтов.

tequier0 Oct 21 at 20:29

9.2 CVSS.

ispmanager Oct 23 at 17:53

Апдейт для тех, кто попадёт сюда из поиска: патч вышел 21 октября.

Исправленные версии: 8.2.35, 8.3.36, 8.4.27, 8.5.12. CVSS официально 9.2 (а не 10, как писали до релиза). Уязвимость есть начиная с PHP 5.4. Для 7.4–8.1 PHP выложил только исходники с бэкпортом, для 5.4–7.3 официального исправления нет.

Временные меры вроде session.upload_progress.enabled=0 закрывают только часть атаки — релиз-менеджер PHP прямо писал, что настройками ini не обойтись.

У нас в ispmanager вышли пропатченные сборки для всех версий 5.4–8.5, если кто-то застрял на старом PHP.

SlavikF Oct 26 at 16:03

Вот тут можно взять пропатченные образы Docker контейнеров для старых версий 7.0 - 8.1:

https://github.com/mpyw/php-eol-CVE-2026-109618-109619/pkgs/container/php-eol-cve-2026-109618-109619/versions