Для PHP готовятся два срочных исправления безопасности, которым присвоена оценка серьезности 9,2 балла по десятибалльной шкале. Разработчики предупредили пользователей языка о необходимости обновить системы как можно быстрее после публикации патчей. PHP широко применяется при создании динамических сайтов и веб-приложений.
Подготовка экстренного выпуска сопровождается предупреждением о возможном изменении графика. Если сведения о проблемах выйдут в открытый доступ или начнется их эксплуатация, обновления могут быть опубликованы раньше. Администраторам рекомендовано ориентироваться на официальный сайт PHP.net и подготовить работы к 14:00 UTC.
Информационным фоном стало не подтвержденное полностью сообщение о программе PHP2Shell. Ей приписывают способность выполнять код удаленно через сайты с различными системами управления контентом и прикладными платформами. Подтверждений всем утверждениям, сопровождавшим видеодемонстрацию, на момент публикации не представлено.
По данным watchTowr, сами уязвимости CVE-2026-109618 и CVE-2026-109619 существуют. Сообщение о предполагаемой опасности для всех версий PHP начиная с пятой остается неподтвержденным. Sansec прогнозирует возможность стремительного распространения атак после выхода патчей, однако это оценка экспертов.
В перечне ПО, упомянутого в предполагаемой демонстрации, названы WordPress, MediaWiki, phpBB, Magento, Joomla, Laravel, Symfony, Drupal и WHMCS. Отдельно приводилась оценка примерно 1,3 миллиона потенциально затрагиваемых подключенных к интернету серверов. Это предварительная оценка исследователя, а не подсчет подтвержденных заражений.
Владельцам инфраструктуры советуют составить список сервисов на PHP, сохранить резервные копии сайтов и баз данных, определить ответственных специалистов и подготовить время для обслуживания. Объявление о выпуске исправлений и обстоятельства распространения сведений о PHP2Shell описало издание Ars Technica.