Разработчики PHP выпустили внеплановые обновления версий 8.5.12, 8.4.27, 8.3.36 и 8.2.35, которые устраняют две критические уязвимости. Обнаруженные ошибки позволяют неавторизованным злоумышленникам выполнить удаленный код на сервере. Всем пользователям рекомендуется установить патчи незамедлительно.
В зоне риска находятся любые инсталляции PHP, обрабатывающие веб-запросы, включая PHP-FPM, Apache с mod_php, php-cgi, FrankenPHP и LiteSpeed. Наивысший уровень риска зафиксирован для конфигурации с mod_php, где атака может быть осуществлена неавторизованным запросом еще до запуска кода приложения.
Первая уязвимость получила идентификатор CVE-2026-109618 (GHSA-w8hw-w9fx-j79w) и связана с обработкой нехватки памяти (OOM corruption). Ошибка может прервать работу PHP в момент, когда внутренние данные запроса инициализированы лишь частично, после чего процедура очистки может воспринять невалидные данные как корректные.
Вторая уязвимость, CVE-2026-109619 (GHSA-6wmf-4rv5-p3rp), возникает из-за устаревшего глобального состояния. Внутреннее состояние запроса способно сохраниться в памяти после ее освобождения, и последующий запрос к тому же воркеру может использовать эти данные до стандартной инициализации.
Ранее по теме: Хомячьи силы: HONOR Turbo проверили необычным способом.
Для устранения проблем необходимо обновиться до актуальных релизов. Исходный код и бинарные файлы для Windows опубликованы на официальном сайте проекта. Дистрибутивы Linux и поставщики LTS-версий получили исправления заранее, поэтому пользователям рекомендуется проверить наличие обновлений у своего вендора.
Версии PHP 8.1 и более старые больше не поддерживаются официальной командой проекта. Из-за высокой степени опасности уязвимостей разработчики подготовили минимальные бэкпорты исходного кода для PHP 7.4, PHP 8.0 и PHP 8.1 для тех, кто собирает ПО самостоятельно.
Обсуждение в Telegram ↗