Разработчики PHP готовят исправления для двух уязвимостей, которым присвоен уровень опасности 9,2 балла из 10. Выпуск обновлений ожидается более чем через 12 часов после объявления планов. PHP используется на сайтах и в веб-приложениях по всему миру.
Администраторов ресурсов призвали заранее подготовиться к установке патчей. «All PHP users are encouraged to prepare now so they can upgrade as soon as the release is available», — говорится в уведомлении разработчиков. При необходимости обновления могут выпустить раньше запланированного срока, если сведения об уязвимостях станут публичными или появятся признаки их эксплуатации.
Предупреждение появилось после утечки предположительных данных об атаках, достоверность которых пока не подтверждена. В опубликованном видеоролике показана работа инструмента PHP2Shell, способного выполнять код на серверах с установленными WordPress 7.1.3, MediaWiki 1.46.2, phpBB 3.3.17, Magento 2.4.9, Joomla 6.2.0, Laravel 13.36.0, Laravel 8.83.29, Symphony 8.1.9, Drupal 11.4.10 и WHMCS 9.0.9.
Все перечисленные системы используют PHP. Запись с демонстрацией инструмента была повторно размещена в интернете, однако найти первоначальный неподтверждённый отчёт не удалось. Разработчики PHP сообщили о подготовке исправлений в понедельник.
Компания по кибербезопасности watchTowr заявила, что уязвимости могут затрагивать все версии PHP начиная с PHP 5, выпущенной в 2004 году. Специалисты фирмы подтвердили существование проблем. Им присвоены идентификаторы CVE-2026-109618 и CVE-2026-109619, сообщает сайт PHP.