В PHP обнаружены две критические уязвимости типа RCE (remote code execution): CVE-2026-109618 и CVE-2026-109619. Они затрагивают компонент php-src и имеют оценку CVSS v4.0 — 9.2 (Critical).
Затронутые версии PHP
Согласно матрице затронутых версий, уязвимы следующие ветки PHP 8.x:
- PHP < 8.2.35
- PHP < 8.3.36
- PHP < 8.4.27
- PHP < 8.5.12
Все установки PHP ниже указанных порогов попадают в область действия этих двух RCE‑уязвимостей.
Исправленные релизы и меры
В качестве исправленных версий указаны:
- 8.2.35
- 8.3.36
- 8.4.27
- 8.5.12
Отдельно подчёркнуто, что необходимо немедленно обновить PHP до исправленного релиза своей ветки (соответствующей текущей версии 8.x). Также прямо сказано, что обновление — единственная полная мера смягчения для обеих уязвимостей.
Для систем на более старых ветках PHP (< 8.1) команда безопасности PHP подготовила минимальные source-backport’ы для PHP 7.4, 8.0 и 8.1 для тех, кто собирает PHP из исходников. Эти backport’ы описаны как минимальные и не заменяют полноценное обновление до актуальной ветки.
Разработчикам embedded‑устройств, веб‑панелей управления и IoT‑шлюзов на PHP следует проверить текущую версию 8.x и перейти на перечисленные исправленные релизы, чтобы закрыть CVE-2026-109618 и CVE-2026-109619.
Источник: Gündəm · success.trendmicro.com
