В релизе безопасности PHP от 21 октября были устранены две критические уязвимости, CVE-2026-109618 и CVE-2026-109619, которые, по заявлению команды проекта PHP, могут позволить неаутентифицированное удаленное выполнение кода. Исправления вошли в апстрим-версии PHP 8.5.12, 8.4.27, 8.3.36 и 8.2.35. Команда PHP отмечает, что полных обходных решений (mitigations) не существует, поэтому единственный надежный вариант — обновление. См. официальный бюллетень безопасности PHP.

В бюллетене CERT-In для индийских MSME отмечается практическая сложность: PHP может быть установлен напрямую, поставляться в комплекте с CMS или хостинг-аккаунтом, либо управляться вендором. Если вы не знаете точно, какой рантайм обслуживает публичный сайт, проверьте инвентаризацию хостов и приложений, а не надейтесь на то, что в продакшене используется версия PHP из пакетного менеджера.

Эффективный порядок действий при реагировании:

  1. Определите каждый рантайм PHP, включая контейнеры и управляемый хостинг.
  2. Сравните каждую версию с исправленным пакетом от апстрима или вендора.
  3. Обновитесь до исправленного релиза и перезапустите сервис, который непосредственно запускает сайт.
  4. Проверьте версию рантайма после деплоя.
  5. Изучите веб- и приложение-логи на предмет подозрительных запросов, неожиданных изменений файлов, новых учетных записей администраторов, подозрительных процессов или необъяснимого исходящего трафика.

В официальном бюллетене CERT-In сообщается о масштабных эксплуатациях уязвимости и содержится призыв к срочной установке патчей. Неподдерживаемым версиям PHP требуется патч от вендора или переход на поддерживаемую версию. Относитесь к проверке через браузер или успешной установке пакета как к подтверждению безопасности только для этой конкретной среды, а не для всех сервисов на хосте.

Это руководство по реагированию на инциденты, а не доказательство того, что конкретный сайт был взломан. Я пишу об инженерии и операционной надежности на RaktimRanjit.com.