Как сообщает RAEM, команда разработки PHP выпустила внеплановые обновления безопасности для всех поддерживаемых веток этого языка программирования — релизы 8.5.12, 8.4.27, 8.3.36 и 8.2.35. Патчи закрывают критические уязвимости CVE-2026-109618 и CVE-2026-109619. По данным разработчиков, они дают возможность удалённо выполнить на сервере произвольный код, то есть запустить команды атакующего, без предварительной аутентификации.
Под угрозой — типовые веб-окружения, обрабатывающие входящие запросы пользователей: PHP-FPM и php-cgi (варианты подключения PHP к веб-серверу), модуль Apache mod_php, а также серверы FrankenPHP и LiteSpeed. Самой опасной конфигурацией команда PHP считает Apache с mod_php — в ней атака возможна ещё до начала обработки кода самого веб-приложения.
Команда WordPress, системы управления сайтами, пояснила, что дефект находится в ядре интерпретатора PHP, а не в самой платформе, поэтому отдельный релиз WordPress выходить не будет. Узнать установленную версию PHP можно в панели управления хостингом или в самом WordPress: «Инструменты» → «Здоровье сайта» → «Информация» → «Сервер». Провайдер хостинга мог уже обновить PHP и включить правила WAF — межсетевого экрана, фильтрующего вредоносные запросы к сайту, — но владельцу ресурса всё равно стоит уточнить это у хостера.
Для самостоятельно администрируемых виртуальных и выделенных серверов на устаревших сборках старее версии 8.2 в WordPress советуют рассмотреть временное отключение веб-сервисов до полной установки свежих пакетов.
Полностью устранить риск, по словам создателей PHP, способен только переход на обновлённые версии. Дистрибутивы Linux и поставщики систем с долгосрочной поддержкой (LTS) получили патчи заблаговременно. Временные меры и правила WAF снижают вероятность отдельных путей атаки, но саму уязвимость не закрывают.
