PHP получил 9,2 из 10. Это не оценка качества
21 октября команда PHP выпустила исправления для двух критических уязвимостей: CVE-2026-109618 и CVE-2026-109619. Обе позволяют удалённое выполнение кода без авторизации и получили 9,2 по CVSS.
Под риском — PHP, обслуживающий веб-запросы: PHP-FPM, mod_php, php-cgi, FrankenPHP и LiteSpeed. Полного обходного решения нет — безопасный вариант только один: обновиться до 8.5.12, 8.4.27, 8.3.36 или 8.2.35.
Для меня здесь важен управленческий вывод. Приложение может быть написано аккуратно, но уязвимость находится ниже его кода. Поэтому безопасность начинается не с героизма разработчика, а с реестра систем: где установлен PHP, какая версия, кто владелец и сколько времени даётся на обновление.
Фраза «мы уже давно не пишем на PHP» не поможет, если за шкафом всё ещё живёт старая админка.
Я бы спрашивал не «кто виноват?», а «за сколько минут мы найдём все затронутые системы?»
