🚨 PHP2Shell: две RCE в ядре PHP утекли раньше патча — обновляйтесь
Данные о двух дырах в PHP (CVE-2026-109618 и CVE-2026-109619, обе 9.2 по CVSS v4.0) утекли до конца эмбарго, watchTowr подтвердил их, и сегодня PHP выпустил исправления. Обе дают выполнение кода без аутентификации одним запросом — ещё до того, как запустится код приложения. Уязвим любой веб-PHP — от mod_php до PHP-FPM и FrankenPHP. Cloudflare уже видит первые атаки и включил правила WAF, а в Нидерландах заранее отключили сайты парламента и NCSC.
💬 Комментарий: обновляйтесь сейчас до 8.5.12, 8.4.27, 8.3.36 или 8.2.35 либо до сборок своего дистрибутива. WAF — костыль, а не замена патчу. Для 7.4–8.1 есть лишь бэкпорты в исходниках, PHP 5 и 7.0–7.3 не получат ничего: переводите их на восьмую ветку или убирайте из интернета. И не ждите хостера — проверьте версию сами.
