PHP2Shell: две критические уязвимости в PHP 🚨
Ну как тут не написать. В PHP-тусовке кипиш - обнаружили сразу две критические уязвимости, обе с оценкой 9,2 по CVSS 4.0. Весело, конечно.
21 октября раскрыли CVE-2026-109618 и CVE-2026-109619. Они позволяют удалённо выполнять произвольный код на сервере без авторизации. А это уже потенциальный доступ к файлам, базам данных и другим сервисам.
Какие версии нужно обновить:
• PHP 8.5 → 8.5.12 • PHP 8.4 → 8.4.27 • PHP 8.3 → 8.3.36 • PHP 8.2 → 8.2.35 • PHP 8.1 и старше → переходить на поддерживаемую версию или искать патч у поставщика.
А самое паршивое, что AWS фиксировала попытки эксплуатации ещё 17 октября, за четыре дня до публичного раскрытия.
Если у вас где-то крутится PHP, проверьте версии на серверах и в контейнерах, установите патчи и посмотрите логи. А возможно, лучше пока вообще все выключить от греха подальше
Источник: https://www.php.net/archive/2026.php
