Специалисты BI.ZONE WAF зафиксировали попытки эксплуатации двух критических уязвимостей в PHP — CVE-2026-109618 и CVE-2026-109619, — для которых на момент обнаружения атак ещё не было выпущено исправление; эти уязвимости позволяют удалённо выполнять команды на веб-сервере без авторизации, сообщает BI.ZONE в четверг.
В российском сегменте Интернета обнаружено около 50 тысяч потенциально уязвимых веб-приложений на PHP.
Организациям рекомендуется заранее проверить используемые версии PHP и подготовиться к установке обновлений сразу после их выхода. Если установленная версия больше не поддерживается разработчиками и для неё нет исправления, следует рассмотреть переход на поддерживаемую версию или временное ограничение доступа к уязвимому приложению из Интернета.
См. также: Правительственные сайты в ЕС отключили от Интернета из-за уязвимостей в сервисе PHP
Уязвимости CVE-2026-109618 и CVE-2026-109619 получили оценку 9,2 из 10 по шкале CVSS 4.0. По предоставленным техническим данным, они затрагивают версии PHP с 5.4 до 8.5.4 включительно. А по предварительным данным исследователей, уязвимости связаны с ошибкой use-after-free — обращением к области памяти после её освобождения.
Проблемы затрагивают механизм обработки загрузки файлов session.upload_progress. При определённых условиях злоумышленник может отправить специально сформированный POST-запрос к веб-приложению и добиться выполнения команд от имени процесса PHP. Для этого не требуется предварительная авторизация. Успешная эксплуатация может привести к компрометации веб-сервера и поставить под угрозу данные и системы, доступные процессу PHP.
В сети опубликованы технические материалы об эксплуатации уязвимостей. По данным исследователей, для распространенных сборок PHP подготовлены параметры, упрощающие настройку эксплоита. Это может снизить порог входа для злоумышленников и повысить риск атак на доступные из интернета веб-приложения.
