Критические уязвимости PHP угрожают миллионам сайтов: первые атаки уже начались

В PHP выявлены две критические уязвимости, которые могут поставить под угрозу миллионы сайтов по всему миру. Европейские специалисты по кибербезопасности предупреждают о риске удалённого взлома серверов, а отраслевые компании сообщают о начале первых атак.

Экстренные исправления и масштаб угрозы

Как сообщает Reuters, команда разработчиков PHP подготовила экстренные исправления для уязвимостей CVE-2026-109618 и CVE-2026-109619. Обе получили оценку критичности 9, 2 из 10 по шкале CVSS 4. 0. Выпуск обновлений запланирован на 21 октября.

Проблема может затронуть огромное количество ресурсов: PHP используется в популярных системах управления сайтами и интернет-магазинами, включая WordPress, Drupal, Joomla и Magento, а также в многочисленных веб-приложениях, хостинговых платформах и инструментах администрирования серверов.

По предупреждению европейской группы реагирования на компьютерные инциденты CERT-EU, уязвимости потенциально позволяют злоумышленникам удалённо выполнять произвольный код на сервере без авторизации. Это может привести к краже данных, изменению содержимого сайтов, получению доступа к закрытым системам и полному компрометированию серверов.

Потенциально под угрозой находятся версии PHP начиная с PHP 5. При этом полный список уязвимых версий и технические подробности на момент публикации ещё не раскрыты. CERT-EU рекомендует организациям заранее выявить уязвимые системы и установить исправления сразу после их выхода. Если оперативно устранить проблему невозможно, ведомство советует рассмотреть временную изоляцию затронутых сайтов и приложений от публичных сетей.

По данным Cloudflare, первые атаки с использованием новых уязвимостей уже фиксируются. Технический директор компании Дейн Кнехт сообщил, что специалисты внедряют дополнительные правила защиты для межсетевого экрана веб-приложений (WAF). Однако такие меры лишь временно снижают риски и не заменяют официальные обновления PHP. Компания Patchstack также получила от нескольких хостинг-партнёров сообщения об активной эксплуатации уязвимостей.