Администраторов сайтов предупредили о скором выпуске исправлений для двух уязвимостей в PHP — языке программирования, на котором работают многочисленные сайты и веб-приложения. Патчи должны появиться менее чем через 12 часов после публикации предупреждения. Обе проблемы получили оценку 9,2 балла из 10 по шкале серьёзности.
Разработчики PHP сообщили об этом в понедельник и призвали пользователей заранее подготовиться к обновлению. В уведомлении сказано: «Всем пользователям PHP рекомендуется подготовиться сейчас, чтобы установить обновление сразу после его выхода». Разработчики также оставили за собой право выпустить исправления раньше намеченного срока, если сведения об уязвимостях станут публичными или появятся признаки их эксплуатации.
Предупреждение появилось после утечки предположительных сведений о проблемах, которые пока не получили официального подтверждения. В опубликованном видеоролике показана работа инструмента PHP2Shell, способного выполнять код на серверах с WordPress 7.1.3, MediaWiki 1.46.2, phpBB 3.3.17, Magento 2.4.9, Joomla 6.2.0, Laravel 13.36.0, Laravel 8.83.29, Symfony 8.1.9, Drupal 11.4.10 и WHMCS 9.0.9.
Найти первоначальный отчёт о предполагаемой атаке не удалось. При этом компания по кибербезопасности watchTowr заявила, что уязвимости могут затрагивать все версии PHP, начиная с выпуска PHP 5 в 2004 году.
Специалисты watchTowr сообщили, что подтвердили существование проблем. Им присвоены идентификаторы CVE-2026-109618 и CVE-2026-109619. Об этом говорится в сообщении разработчиков PHP и материалах watchTowr, посвящённых выявленным уязвимостям.