Многие сайты сегодня не работают из-за серьёзной уязвимости PHP – экстренный патч выйдет в 17:00 по Москве

Команда безопасности PHP сегодня, 21 октября, в 17:00 по Москве выпустит экстренное обновление, которое закроет две критические уязвимости.

Обе получили оценку 9,2 по шкале CVSS v4.0, а детали, судя по всему, утекли в сеть ещё до официального релиза. Cloudflare уже развернула временную защиту для сайтов на PHP и сообщает о первых попытках атак.

Предварительное уведомление PHP Foundation опубликовала 20 октября. Команда призвала всех пользователей заранее подготовиться к обновлению и предупредила, что может выпустить патч раньше, если подробности уязвимостей станут публичными или появятся свидетельства активной эксплуатации.

Подобные ранние предупреждения команда PHP делает крайне редко. Причиной спешки стала утечка – 20 октября данные о двух уязвимостях запуска кода в ядре PHP начали распространяться в открытом доступе, хотя изначально раскрытие, по слухам, планировалось на 22 октября.

Официальных технических деталей пока нет, но СМИ и исследователи уже связывают уязвимости с идентификаторами CVE-2026-109618 и CVE-2026-109619. По имеющимся данным, обе ошибки относятся к типу use-after-free в куче и находятся в обработчике session.upload_progress, который отслеживает прогресс загрузки файлов. Use-after-free возникает, когда программа продолжает обращаться к уже освобождённому участку памяти, и злоумышленник может подменить его содержимое своими данными, чтобы выполнить произвольный код.

Масштаб проблемы может оказаться очень большим. Австралийский центр кибербезопасности (ACSC) сообщает, что под угрозой могут находиться все версии PHP, начиная с PHP 5.

В X уже появились сообщения о проверочном эксплойте под названием php2shell, а исследователи из watchTowr описали обе уязвимости как удалённое выполнение кода.

На фоне утечки Cloudflare не стала ждать патча. Технический директор компании Дэйн Кнехт сообщил, что сайты на PHP за Cloudflare уже защищены первым набором правил межсетевого экрана веб-приложений (WAF) против известных векторов атаки.

Дэйн Кнехт, технический директор Cloudflare, пишет:

Сайты на PHP за Cloudflare уже получили первоначальный набор правил WAF для известных векторов эксплуатации этих уязвимостей. Правила доступны всем клиентам, включая бесплатный тариф. Мы видим первые атаки и обновляем меры защиты по мере появления новых векторов. Это ТОЛЬКО временная мера. Установите патч сразу, как только PHP Foundation выпустит обновление сегодня в 14:00 UTC.

WAF фильтрует входящие запросы до того, как они достигают сервера, и блокирует те, что похожи на известные шаблоны атак. Такая защита помогает выиграть время, но не устраняет саму уязвимость, ведь злоумышленники могут найти способ обойти правила.

Администраторам рекомендуют подготовиться к обновлению заранее:

• проверить версии PHP на всех серверах, начав с сервисов, доступных из интернета

• запланировать установку патча сразу после выхода в 14:00 UTC

• до выхода обновления рассмотреть временное отключение функции session.upload_progress, которое советуют участники сообщества

• учесть, что ветки PHP 8.1, 8.0 и все версии 7.x уже не поддерживаются, так что для них исправлений может не быть

Активно поддерживаемыми остаются ветки PHP 8.2-8.5. Последний плановый выпуск с исправлениями безопасности вышел 24 сентября в виде версий 8.2.34, 8.3.35, 8.4.26 и 8.5.11, и тем, кто его пропустил, стоит обновиться в любом случае.

PHP остаётся одним из самых распространённых серверных языков – на нём работают WordPress, Drupal, Laravel и множество других популярных платформ. Полные технические детали, список уязвимых версий и номера исправленных релизов команда PHP обещает опубликовать вместе с самим обновлением.