# Проект PHP выпускает экстренные исправления для критических уязвимостей удаленного выполнения кода

Source: TechNewsList (https://technewslist.com)
Canonical URL: https://technewslist.com/ru/article/php-project-issues-emergency-patches-for-critical-rce-flaws-2026-10-21-night-ru
Section: Software (https://technewslist.com/ru/software)
Author: TechNewsList
Language: ru
Published: 2026-10-21T18:08:56.648+00:00
Updated: 2026-10-21T18:08:56.861455+00:00

> Основная группа разработчиков PHP выпускает экстренные обновления безопасности, устраняющие максимально серьезные уязвимости удаленного выполнения кода без аутентификации на глобальных серверах.

## TL;DR
- Проект PHP выпустил экстренные исправления для критических уязвимостей CVE-2026-109618 и CVE-2026-109619.
- Эти недостатки позволяют удаленным злоумышленникам, не прошедшим проверку подлинности, выполнять произвольные команды оболочки на целевых серверах.
- Уязвимости возникают из-за неправильной обработки указателей памяти внутри базовых процедур анализа строк.
- Глобальные агентства по кибербезопасности, в том числе CISA и CERT-EU, издали срочные директивы, требующие немедленных обновлений.
- Системным администраторам настоятельно рекомендуется немедленно применить вышестоящие версии или внедрить правила брандмауэра веб-приложений.

## Key points
- Ошибки удаленного выполнения кода без аутентификации влияют на широкое распространение PHP во всем мире.
- Ошибки были выявлены в ходе автоматизированных проверок безопасности с использованием инструментов проверки кода искусственного интеллекта.
- Эксплуатация не требует предварительной аутентификации или привилегированного доступа к среде хост-веб-сервера.
- Уязвимость затрагивает как устаревшие, так и современные ветви среды выполнения PHP на платформах Unix и Windows.
- Поставщики облачной инфраструктуры развертывают аварийные сетевые фильтры для предотвращения попыток сканирования и эксплуатации.

## Что произошло

21 октября 2026 года основные сопровождающие проекта PHP с открытым исходным кодом выпустили экстренные внеполосные версии безопасности для устранения двух критических уязвимостей удаленного выполнения кода, отслеживаемых как CVE-2026-109618 и CVE-2026-109619. Присвоенные общей системе оценки уязвимостей рейтинги серьезности, близкие к максимальному баллу в десять, позволяют неаутентифицированным удаленным злоумышленникам выполнять произвольные команды операционной системы с привилегиями базового процесса веб-сервера. Уязвимость затрагивает обширную часть глобального Интернета, поскольку PHP по-прежнему используется более чем на семидесяти процентах веб-сайтов, использующих серверные языки программирования.

Критические дефекты были обнаружены в ходе автоматизированной кампании по исследованию уязвимостей, проведенной исследователями безопасности с использованием передовых моделей анализа кода на основе искусственного интеллекта. Убедившись, что уязвимости могут быть использованы в качестве оружия с помощью стандартных HTTP-запросов POST без аутентификации или сложных предварительных условий, команда разработчиков PHP мобилизовала ускоренный международный скоординированный график раскрытия информации для доставки исправлений во все поддерживаемые ветки выпуска.

![Инфраструктура серверных стоек и сетевые коммутаторы, обеспечивающие работу корпоративных веб-сервисов.](https://rkhynbcsbnkkcwgexzwg.supabase.co/storage/v1/object/public/media/api/1792605106842-c3qmgl-php-project-issues-emergency-patches-for-critical-rce-flaws-2026-10-21-night-inside-1-be30cfaa27.webp)
*Инфраструктура серверных стоек и сетевые коммутаторы, обеспечивающие работу корпоративных веб-сервисов.*

Правительственные агентства по кибербезопасности во всем мире немедленно повысили уровень тревоги после публичного сообщения. Агентство кибербезопасности и безопасности инфраструктуры США добавило идентификаторы распространенных уязвимостей и идентификаторов воздействия в свой каталог известных эксплуатируемых уязвимостей, а европейские подразделения реагирования на компьютерные чрезвычайные ситуации выпустили обязательные директивы, требующие от правительственных учреждений и операторов критической инфраструктуры установить исправления на своих общедоступных веб-серверах в течение двадцати четырех часов.

## Почему это важно

Обнаружение и экстренное исправление универсальной уязвимости удаленного выполнения кода без аутентификации в PHP представляет собой одно из самых серьезных событий безопасности цепочки поставок программного обеспечения в 2026 году. Поскольку PHP служит базовой средой выполнения для систем управления контентом, таких как WordPress, Drupal и Joomla, а также обширных корпоративных платформ электронной коммерции и правительственных порталов, потенциальный радиус взрыва охватывает сотни миллионов публичных веб-конечных точек.

Когда в программном обеспечении с таким уровнем проникновения на глобальный рынок обнаруживается уязвимость удаленного выполнения кода, автоматические злоумышленники и спонсируемые государством шпионские группы инициируют автоматическое сканирование по всему Интернету в течение нескольких часов. Злоумышленники создают сценарии массовой эксплуатации, предназначенные для сканирования диапазонов IP-адресов, внедрения вредоносных полезных данных и компрометации неисправленных серверов, прежде чем системные администраторы смогут применить обновления поставщика. Оказавшись внутри, злоумышленники могут развернуть веб-оболочки, проникнуть в конфиденциальные базы данных или создать постоянные плацдармы для горизонтального перемещения во внутренние корпоративные сети.

Кроме того, этот инцидент подчеркивает преобразующее влияние искусственного интеллекта на обнаружение наступательных и защитных уязвимостей. В то время как аудиторы человеческого кода игнорировали эти конкретные недостатки границ памяти в течение нескольких циклов выпуска, специализированные модели автоматического рассуждения выявили нелинейные пути выполнения, приводящие к повреждению буфера за считанные минуты. По мере ускорения темпов обнаружения уязвимостей с помощью ИИ временной интервал между обнаружением уязвимостей и их вооружением резко сжимается.

## Технические детали

На техническом уровне CVE-2026-109618 возникает из-за уязвимости переполнения целого числа, глубоко вложенной в стандартную библиотеку обработки многобайтовых строк PHP. При анализе специально созданных последовательностей байтов UTF-8, встроенных в составные полезные данные формы, расчет распределения памяти во время выполнения не учитывает расширение границ во время преобразования символов. Это арифметическое несоответствие приводит к тому, что распределитель памяти выделяет буфер кучи, который значительно меньше расширенного потока символов.

Когда парсер копирует декодированный поток байтов в буфер меньшего размера, он переполняет смежные структуры кучи, повреждая внутренние указатели управления памятью Zend Engine. Тщательно организовав структуру памяти с помощью методов распыления кучи, неаутентифицированный злоумышленник может перезаписать указатели функций в контексте запроса и перенаправить поток управления выполнением на произвольный вызов оболочки, добившись полного удаленного выполнения кода с разрешениями демона веб-сервера.

![Архитектура сетевого коммутатора центра обработки данных, требующая быстрого развертывания аварийных обновлений.](https://rkhynbcsbnkkcwgexzwg.supabase.co/storage/v1/object/public/media/api/1792605109965-iyprsg-php-project-issues-emergency-patches-for-critical-rce-flaws-2026-10-21-night-inside-2-331cba19fb.webp)
*Архитектура сетевого коммутатора центра обработки данных, требующая быстрого развертывания аварийных обновлений.*

Вторая уязвимость, CVE-2026-109619, связана с дополнительной логической ошибкой в ​​менеджере процессов PHP fastcgi. В условиях большого объема одновременных запросов необработанное состояние гонки при перезапуске рабочего процесса позволяет искаженным переменным среды сохраняться за пределами границ последовательных запросов, что позволяет злоумышленникам обходить стандартные фильтры брандмауэра веб-приложений и вводить произвольные аргументы во внешние системные двоичные файлы.

Официальные исправления исходной ветки, выпущенные The PHP Group, устраняют обе основные причины, обеспечивая строгую проверку границ во время перекодирования многобайтовых строк и вводя механизмы атомной блокировки в жизненный цикл работника fastcgi. Команда разработчиков перенесла исправления безопасности в деревья выпусков PHP 8.2, 8.3 и 8.4, призывая всех пользователей немедленно обновиться до последних итераций исправлений.

## Влияние на рынок и отрасль

Чрезвычайное раскрытие информации привело к широкомасштабным сбоям в работе глобальных провайдеров веб-хостинга, корпоративных ИТ-отделов и управляемых облачных платформ. Крупнейшие операторы облачной инфраструктуры, в том числе Amazon Web Services, Cloudflare и Akamai, поспешили развернуть глобальные управляемые правила брандмауэра веб-приложений, чтобы обнаруживать и удалять определенные байтовые сигнатуры, связанные с попытками эксплуатации переполнения кучи, до того, как трафик достигнет исходных серверов.

Для корпоративных групп DevOps и инженеров по обеспечению надежности сайтов исправления требуют срочного обслуживания, перезапуска служб и регрессионного тестирования критически важных веб-приложений. Организации, использующие настроенные устаревшие среды выполнения PHP, которые нелегко обновить, сталкиваются с серьезным операционным риском, вынуждающим их внедрять ограничительную фильтрацию входящего трафика или временно изолировать уязвимые приложения от общедоступного Интернета.

## За чем следить дальше

В ближайшие дни группы по разведке угроз кибербезопасности будут внимательно следить за публичными репозиториями эксплойтов и подпольными форумами на предмет появления сценариев использования эксплойтов, проверяющих концепцию. Появление надежных общедоступных эксплойтов обычно запускает массовые автоматические кампании по эксплуатации ботнетов, нацеленные на уязвимые веб-хосты.

Исследователи безопасности также будут следить за обнаружением вторичных уязвимостей, поскольку глобальные аудиторы кода тщательно изучают смежные компоненты стандартной библиотеки PHP на предмет аналогичных аномалий многобайтового анализа и распределения кучи.

Наконец, органы управления корпоративным программным обеспечением оценят растущую роль автономных инструментов аудита искусственного интеллекта в безопасности программного обеспечения с открытым исходным кодом, ускоряя обсуждение стандартизированных автоматизированных конвейеров сканирования для выявления и устранения архитектурных недостатков в базовых пакетах с открытым исходным кодом перед их развертыванием.

## Источники

- [The PHP Group Рекомендации по безопасности](https://www.php.net/archive/2026.php#2026-10-21-1): Официальные рекомендации по выпуску версий PHP, содержащие исправления для повреждения памяти и дефектов проверки указателей.
- [Предупреждение о кибербезопасности при дайвинге](https://www.cybersecuritydive.com/news/php-critical-rce-vulnerabilities-emergency-patches-cve-2026-109618/728910/): Технические рекомендации с подробным описанием уровней серьезности CVSS и возможностей атак на веб-серверах PHP.
- [Техническая служба Hindustan Times](https://www.hindustantimes.com/technology/critical-php-security-flaw-cve-2026-109618-patches-released-2026-10-21): Глобальное освещение чрезвычайных предупреждений правительственных агентств по кибербезопасности, призывающих веб-операторов немедленно обновить информацию.

Mentions: The PHP Group, CVE-2026-109618, CVE-2026-109619, CISA

## Sources
- [The PHP Group Рекомендации по безопасности](https://www.php.net/archive/2026.php#2026-10-21-1)
- [Предупреждение о кибербезопасности при дайвинге](https://www.cybersecuritydive.com/news/php-critical-rce-vulnerabilities-emergency-patches-cve-2026-109618/728910/)
- [Техническая служба Hindustan Times](https://www.hindustantimes.com/technology/critical-php-security-flaw-cve-2026-109618-patches-released-2026-10-21)