JuiQbmn20 окт в 23:52

Критическая уязвимость в PHP

1 мин

34K

Информационная безопасность * PHP *

+40

Комментарии 44

JetMaster 21 окт в 02:32

psload 21 окт в 03:28

Да! Есть такая инфа. Я тоже читал на зарубежных ресурсах. Сами так называемые уязвимости(усл.об.: CVE-2026-109618,CVE-2026-109619). Это подразумевает, что при, так сказать, успешной атаке, злоумышленник мог выполнить свой код на сервере со сценариями PHP. Возможные затронутые версии PHP - 5, 6, 7 и ой, ой и даже 8. Почему сказано, что экстренный? Да, потому- что инфа об уязвимостях утекла в сеть раньше запланированного срока раскрытия- вот это интересно не правда ли? :)) . Кто слил инфу :)? Кто кто. Описывается что полного понимания нету кто. Описывается, что уязвимости действительно реальны, и даже воспроизвели одну из них (CVE-2026-109618), но по понятным причинам не опубликовали технические детали до выхода патчей(это и понятно). Во что есть: параллельно в сети появился пост на форуме Hacker News (в пуле Combinator). Пользователь под ником petecooper написал, что 22 октября должны раскрыть две критические уязвимости PHP типа RCE, кстати описывал те же CVE и высоко оценил серьёзность , но позже этот пост удалили. Что ещё есть: несмотря на утечку данных, какие то исследователи(не помню), не наблюдали реальной эксплуатации этих уязвимостей в момент публикации. То есть информация ушла в сеть раньше срока, но массовой атаки «в дикой природе» :) на тот момент не было. Ну, успокоили... Спасибо! будем следить и это познавательно...

m0tral 21 окт в 20:42

не знаю не знаю, как раз последние пару недель наблюдал странные OOM fpm на 8.1, а потом поднятый danted, который с моего VPS участвовал в атаке на чей то сайт, благо хостер мониторит и сразу рубит такую шляпу.

rumours86 21 окт в 06:15

Назад в будущее?

21 октября 2026 года в 14:00 UTC, команда разработчиков PHP

Baton34 21 окт в 06:49

21 октября 2026 года в 14:00 UTC, команда разработчиков PHP выпустит экстренное обновление безопасности для устранения двух критических уязвимостей.

https://www.opennet.ru/opennews/art.shtml?num=66516

rumours86 21 окт в 07:07

Да, спасибо, уже разобрался, комент не могу удалить, но в статье всё равно криво написано "выпускает" будто прямо сейчас, хотя до релиза ещё 7 часов

digrobot 21 окт в 08:20

В сети уже открыто лежит эксплойт. Как временное решение, рекомендуют
session.upload_progress.enabled = Off

dartraiden 21 окт в 08:42

Этого не достаточно.

Стоит заблокировать multipart-запросы на уровне веб-сервера.

SlavikF 21 окт в 14:21

Я использую Docker + Traefik.

Я заблокировал все POST:

      labels:
        - "traefik.enable=true"
        - "traefik.http.routers.aidcim.rule=(Host(`example.org`) || Host(`www.example.org`)) && !Method(`POST`)"

DMGarikk 21 окт в 14:33

Я заблокировал все POST:

выдерни шнур выдави стекло

denis-19 21 окт в 09:02

PHP CVE-2026-109618 и CVE-2026-109619: первоочередные меры защиты

icon-of-sin 21 окт в 09:39

Прям как в старые добрые 2000е, когда в пыхе каждый месяц находили remote exec . Непонятно что все всполошились, в 2026м на пыхе только неуловимые джо сидят (а их уже давно киддисы выпотрошили через дырявый битрикс)

antropophob 21 окт в 10:07

40% сайтов на wordpress нервно икнули (а среди них и сайт белого дома, и блог sony, и ibm, и techcrunch)

icon-of-sin 21 окт в 11:02

>сайт белого дома, и блог sony, и ibm, и techcrunch

перепись неудачников, которые не смогли вкатиться в ИТ? ibm кстати в списке лишний. sony возможно тоже.

IBM operates IBM Developer Blog, which publishes technical articles and tutorials. However, the official page alone does not establish that it uses WordPress, and I couldn't verify the current CMS with sufficient confidence.

Sony's blog — DEPENDS ON WHICH BLOG

milkground 21 окт в 11:50

Вот ещё список неудачников:

https://blog.nginx.org
https://blog.mozilla.org
https://thewaltdisneycompany.com
https://www.salesforce.com
https://www.logitech.com/blog/
https://blog.playstation.com/

Это только те неудачники, которых я нашёл при беглом поиске. Уверен, что их намного больше. Не смогли вкатиться в ИТ, ну и поделом им, все давно о них забыли.

ksbes 21 окт в 12:01

IMDB - вообще на Перле, если я правильно помню. Так что пых-пых это, даже, продвинуто как-то!

icon-of-sin 21 окт в 14:24

всё перечисленное бложики и визитки. ценность данных примерно ноль.

icon-of-sin 21 окт в 15:04

и чем они выделяются из 40% ~~отбросов~~ неуловимых потребителей пыхпых в инторнетах?

ещё можно список ~~помоек~~ любителей битрикс24 сюда кинуть. это сразу же докажет что WP и bitrix не шлак для жадных недоИТшников.

becefi 21 окт в 15:10

тру-айтишники пишут сайты на руби и питоне? ))

AWE64 21 окт в 16:31

на свифте

BiTL 22 окт в 04:13

в Word'e, их точно не взломаешь!

xmpi 21 окт в 17:22

в наше время агентов гнать на поддерживаемый и обновляемый php даже более кринжово, чем в своё время было им пользоваться.

DeadGood 21 окт в 20:50

php c 2000 продвинулся очень далеко. Шутят о нем исключительно люди, которые там же, в 2000е и застряли.

icon-of-sin 22 окт в 07:23

>В Европе временно отключили сайты госорганов

труъ ынтырпрайз11111!!

давайте ещё минусов, пых-обезьянки.

DMGarikk 22 окт в 07:37

Сайты госорганов этот нифига не энтерпрайз, это зачастую кривокосое поделие сделанное сотней подрядчиков с квалификации джунов и оплаченных как команда сеньоров

И да, за бугром так тоже, если не хуже

becefi 23 окт в 04:21

в школу не пора?

Alosxkj 21 окт в 09:47

строго засекречена

))

some_dude 21 окт в 11:45

https://www.vincentschmalbach.com/cve-2026-109618-and-cve-2026-109619-what-you-should-do-now/
Есть и разбор, и митигейшен.

unsec 21 окт в 13:42

https://php2shell.ru - методы защиты от PHP2Shell и ссылки на патчи, информация обновляется.

Hint 21 окт в 12:08

Обсуждение в issue deb.sury.org, откуда многие устанавливают php:
https://codeberg.org/oerdnj/deb.sury.org/issues/145
Обещает публиковать пакеты по мере завершения сборки (сначала amd64, затем ARM). При этом говорит, что сборщик не успеет собрать всё быстро (сроков не называет).

xenon 21 окт в 13:33

Чует мое сердце, мы на пороге грандиозного шухера!
Я и heartbleed пережил и другие громкие уязвимости, но не помню, чтобы анонсировали время публикации патча. Предполагаю:
- Пока что про уязвимость знают некоторые и ломают. Но пока лишь некоторые - все еще более-менее терпимо.
- Когда выйдут патчи, по патчам легко будет понять, где уязвимость
- Нейронки за 10 минут напишут эксплойты
- Через 20 минут их зальют на сервера и запустят в многопоточном режиме
- К утру четверть интернета уже взломают....

Спускай своих борзых
Спускай с цепей
Пускай скорей начнутся
Игры зверей!

german25avenue 21 окт в 14:58

Да уже по Европе прокатились отключения сайтов всяких вузов и ведомств.

MrB4el 21 окт в 15:04

https://cert.europa.eu/publications/security-advisories/2026-018/

Потому что официальное предписание вышло

Heggi 21 окт в 14:03

В репах Debian 13 появились пакеты с версией 8.4.27-1~deb13u1

TheRaven 21 окт в 16:18

в Debian 12 начали появляться тоже

skovpen 21 окт в 14:13

How to update:

Update to PHP 8.5.12, 8.4.27, 8.3.36 or 8.2.35. Source downloads are on our downloads page. Windows source and binaries are on the same page.
Linux distributions and LTS vendors received the patches in advance, so check your vendor for updated packages.
PHP 8.1 and older no longer receive updates from the PHP project. Some distributions and LTS vendors provide backported fixes, so contact your vendor for details, or upgrade to a supported version.
If you rely on the volunteer-maintained rpms.remirepo.net, we urge you to switch to distribution packages or build from source, so you can immediately apply updates. The repo will not have updates today.
Given the severity of these vulnerabilities, the PHP security team provided minimal source-backports for PHP 7.4, PHP 8.0, and PHP 8.1 to help people building from source or without access to an LTS vendor.

Привет legacy :-)

zartdinov 21 окт в 14:30

Спасибо, ждем теперь еще образы докера

molareg497 21 окт в 15:49

Пишут что чатгпт нагнал страху а по факту уровень не выше 5.2 согласно исследователю одному , нет там RCE якобы, ну или ждем стороннее мнение...

Vindicar 21 окт в 16:08

Вот будет смешно, если панику подняли, чтобы под шумок воткнуть RCE в "пропатченные" версии и заставить всех их поставить.

Alaska 21 окт в 16:16

https://paragraf152.ru/pulse/tehnologii/php

Vindicar 21 окт в 20:10

Пардон... и? Пока что я вижу, что под необходимость обновления попадают порядка 99,2% сайтов.

tequier0 21 окт в 20:29

9.2 CVSS.

ispmanager 23 окт в 17:53

Апдейт для тех, кто попадёт сюда из поиска: патч вышел 21 октября.

Исправленные версии: 8.2.35, 8.3.36, 8.4.27, 8.5.12. CVSS официально 9.2 (а не 10, как писали до релиза). Уязвимость есть начиная с PHP 5.4. Для 7.4–8.1 PHP выложил только исходники с бэкпортом, для 5.4–7.3 официального исправления нет.

Временные меры вроде session.upload_progress.enabled=0 закрывают только часть атаки — релиз-менеджер PHP прямо писал, что настройками ini не обойтись.

У нас в ispmanager вышли пропатченные сборки для всех версий 5.4–8.5, если кто-то застрял на старом PHP.

SlavikF 26 окт в 16:03

Вот тут можно взять пропатченные образы Docker контейнеров для старых версий 7.0 - 8.1:

https://github.com/mpyw/php-eol-CVE-2026-109618-109619/pkgs/container/php-eol-cve-2026-109618-109619/versions

Зарегистрируйтесь на Хабре, чтобы оставить комментарий