В языке программирования PHP обнаружены две критические уязвимости, затрагивающие огромное количество сайтов по всему миру. 21 октября разработчики PHP выпустили экстренные обновления для устранения этих проблем, которые позволяют злоумышленникам удалённо захватывать управление серверами без аутентификации. Уязвимости затрагивают все PHP-инсталляции, обслуживающие веб-запросы, включая популярные CMS, такие как WordPress, Joomla, Drupal, а также e-commerce платформы вроде Magento.
Детали уязвимостей
Уязвимости получили идентификаторы CVE-2026-109618 и CVE-2026-109619 и оценку 9,2 из 10 по шкале CVSS. Первая связана с повреждением памяти из-за некорректной обработки лимитов памяти, что может привести к прерыванию работы PHP во время обработки запроса и, как следствие, к удалённому выполнению кода (RCE). Вторая уязвимость касается устаревшего глобального состояния: внутренние данные могут сохраняться после освобождения памяти, что позволяет использовать их в последующих запросах до нормальной инициализации.
Кто находится в зоне риска?
Все PHP-среды, обрабатывающие веб-запросы, подвержены риску, особенно при использовании Apache с mod_php, PHP-FPM, php-cgi, FrankenPHP или LiteSpeed. Наибольшая опасность отмечается для конфигураций с mod_php, где эксплойт может быть запущен до выполнения кода приложения. Системы на устаревших версиях PHP особенно уязвимы, поскольку не получают официальных обновлений, хотя некоторые вендоры могут предоставлять патчи с исправлениями.
Влияние на участников индустрии
Для операторов, аффилиатов и поставщиков в iGaming и онлайн-беттинге эти уязвимости представляют серьёзную угрозу безопасности и стабильности бизнеса. Многие сайты отрасли используют PHP-платформы для фронтенда и бэкенда. Успешная атака может привести к компрометации данных клиентов, сбоям в работе сервисов и репутационным потерям. Регуляторы также могут усилить контроль над операторами, учитывая возможный масштаб последствий. Немедленное обновление критически важно для соблюдения требований и защиты пользовательских данных.
Меры по устранению и дальнейшие шаги
Патчи доступны в версиях PHP 8.5.12, 8.4.27, 8.3.36 и 8.2.35. Всем пользователям настоятельно рекомендуется обновиться как можно скорее. Некоторые дистрибутивы Linux и вендоры с долгосрочной поддержкой уже выпустили обновления заранее. Для тех, кто не может обновиться немедленно, рекомендуются временные меры — настройка параметров памяти и сессий, однако они не устраняют риск полностью. Пользователям устаревших версий PHP стоит задуматься об обновлении или обратиться к вендору за патчами безопасности.
Ключевые моменты
- Две критические уязвимости в PHP позволяют выполнять удалённый код без аутентификации.
- Все веб-серверы на PHP, включая популярные CMS и e-commerce платформы, под угрозой.
- Рекомендуется немедленно обновиться до последних версий PHP.
- Операторам и аффилиатам важно срочно принять меры для защиты данных и соблюдения требований.