Что-то страшное произошло в PHP мире. Нашли какую-то кибер-лютую уязвимость.

Точнее, сразу две - CVE-2026-109618 и CVE-2026-109619.

Обе позволяют в определённых условиях получить unauthenticated RCE, то есть прийти снаружи без авторизации и заставить сервер исполнять свой код.

Оценили обе в 9.2 из 10.

Причём проблема не в WordPress, Laravel или каком-нибудь плагине. Она буквально внутри самого PHP runtime.

Одна уязвимость связана с тем, что при нехватке памяти PHP может оставить внутренние структуры в некорректном состоянии, а потом продолжить работать с ними как с нормальными данными.

Вторая, классический use-after-free, когда часть состояния запроса может остаться ссылаться на уже освобождённую память.

И в обоих случаях это удалось раскрутить до полноценного RCE.

Для mod_php показали сценарий, где всё это можно провернуть ещё до того, как вообще начнёт выполняться код самого приложения.

Создатели уже выпустили фикс: PHP 8.5.12 PHP 8.4.27 PHP 8.3.36 PHP 8.2.35

А пыха не Java, версии совсем не совместимы и поддержка прекращается примерно через 2 дня после релиза.

Но тут настолько припекло, что даже для уже неподдерживаемых PHP 7.4, 8.0 и 8.1 сделали минимальные backport'ы исправлений. Правда, не полноценные релизы, а патчи для тех, кто собирает PHP из исходников и надо перекомпилить интерпретатор.

Пока не понял, трухнуло ли это интернет прям глобально, но трухнуло явно знатно.

На Hacker News люди всерьёз писали в духе: «shut your server down before the patch goes live» и «It looks completely catastrophic.»

Один человек вообще написал, что проверил эксплойт на своём сайте, смог вытащить всю базу и после этого сразу все отключил. Некоторые зарубежные (может и отечественные) гос сервисы реально стопнули.

Исследователи активно использовали AI-инструменты для поиска и раскрутки этих багов до рабочего эксплойта.

Google отдельно пишет, что Gemini 4 Argon участвовал не только в поиске уязвимости, но и в разработке эксплойта, детектировании атаки и проверке патча.

То есть эпоха, когда нейронки будут не только вайбкодить нам CRUD'ы, но и массово раскапывать баги уже началась.

Надо быть как Java - стойкой, стабильной и обратносовместимой. Java 8 вышла 128 лет назад, а Extended Support у неё идёт аж до декабря 2030. Миллоин лет одной мажорной версии, вот он enterprise.

Крч, обновляться надо всегда. А в эпоху нейронок ещё и быстрее, чем обычно, на 15 PostgreSQL уже не посидишь.

Ссылки: