Уважаемые клиенты и партнеры!
Информируем вас о критической ситуации в области кибербезопасности, которая может затронуть инфраструктуру, использующую PHP.
Суть: CERT-EU опубликовал бюллетень Security Advisory 2026-018, в котором сообщается о двух критических уязвимостях в PHP — CVE-2026-109618 и CVE-2026-109619. Обе уязвимости имеют оценку CVSS 9.2 и потенциально позволяют неаутентифицированное удалённое выполнение кода (RCE). По данным CERT-EU, потенциально затронуты все версии PHP, начиная с PHP 5.
Что это значит: PHP широко используется в веб-приложениях, CMS (WordPress, Drupal, Joomla, Magento), панелях управления и вендорных решениях. Уязвимость в самом интерпретаторе создает риск для любого компонента инфраструктуры, где используется PHP, включая скрытые зависимости. Публичные источники уже сообщают о первых попытках эксплуатации, что повышает вероятность массовых атак в ближайшее время после выхода патчей.
Официальные рекомендации CERT-EU:
- Подготовиться к немедленному патчингу затронутых активов.
- Если немедленное исправление невозможно, рассмотреть изоляцию интернет-доступных приложений от публичных сетей до появления исправления.
Что рекомендуем сделать уже сейчас:
- Провести инвентаризацию всех систем, использующих PHP, и зафиксировать версии.
- Определить приоритетные интернет-доступные сервисы и подготовить окно для установки патчей (плановый релиз PHP 21 октября 2026 года, 14:00 UTC).
- Для систем на end-of-life версиях PHP (8.1 и старше) запланировать миграцию или применить меры изоляции (VPN, WAF, ограничение доступа).
- После установки патчей провести проверку журналов на предмет возможной компрометации.
Важно: для принятия решений используйте только официальные источники — CERT-EU, PHP Security Team и национальные CERT. Не применяйте непроверенные эксплойты и «временные исправления» из неофициальных каналов.
Подробный разбор ситуации, пошаговый план действий и рекомендации по нивелированию рисков опубликованы в статье на сайте.