Екипът по сигурността на PHP отправи извънредно предупреждение към системните администратори и разработчиците по целия свят да се подготвят за спешни актуализации на сигурността, насрочени за днес, сряда, 21 октомври, точно в 14:00 UTC (17:00 ч. българско време). Поводът за извънредната реакция е изтичането на чувствителна информация за два критични дефекта преди официално планираното им разкриване.
Тъй като PHP захранва огромна част от глобалния уеб – включително системи за управление на съдържанието като WordPress, платформи за електронна търговия и корпоративни портали – всяка мащабна уязвимост в интерпретатора представлява директен риск за милиони сървъри по света.
Официалното предупреждение: CVSS 9.2 и готовност за незабавен пач
В официален бюлетин и съобщение, екипът по разработка на езика обяви, че подготвя корекции за два дефекта, всеки от които е оценен с рейтинг 9.2 по стандарта CVSS v4.0:
„Запазваме си правото да пуснем актуализациите по-рано, ако подробности за някоя от уязвимостите станат публични или ако се появят доказателства за активна експлоатация в реална среда.“
– Официално предупреждение от екипа по сигурността на PHP
Официално разработчиците на PHP все още не са предоставили детайли за конкретните засегнати версии, точните вектори за компрометиране или конкретните нови релийзи, които ще съдържат кръпките, за да предотвратят експлоатация преди появата на пачовете.
watchTowr: Изтичане на RCE дупки, засягащи PHP от версия 5 до версия 8
Въпреки липсата на официални подробности, експертите по киберсигурност от компанията watchTowr потвърдиха пред BleepingComputer, че става дума за дефекти от типа отдалечено изпълнение на код (Remote Code Execution – RCE), проследявани с идентификатори CVE-2026-109618 и CVE-2026-109619:
- Максимална опасност: Главният изпълнителен директор на watchTowr Бенджамин Харис посочва, че по вътрешни оценки на изследователите дефектите се доближават до максималната оценка CVSS 10.0.
- Засегнати версии: Според анализаторите пропуските засягат широка гама от поколения – включително PHP 5, 6, 7 и актуалната серия 8, което би означавало потенциална уязвимост за по-стари поддържани и неподдържани системи.
- Успешно възпроизвеждане: От watchTowr обявиха, че са успели самостоятелно да възпроизведат атаката за CVE-2026-109618 в контролирана среда, но ще запазят техническите детайли в тайна до официалното пускане на пачовете. Към момента не са засечени реални атаки в дивата природа.
Хронология на изтичането: Hacker News и промяната в графика
Тревогата започна след публикация в технологичния форум Hacker News (Y Combinator) от потребител с псевдоним petecooper, който пръв разкри, че предстои осветляване на два критични RCE проблема с рейтинг 10.0, назовавайки същите CVE номера. Публикацията впоследствие бе изтрита, но информацията задейства лавина от коментари сред общността.
Макар първоначалното ембарго да е било планирано за четвъртък, екипът на PHP изтегли пускането на корекциите за сряда сутринта (американско време), за да изпревари евентуални злонамерени опити за атака.
Сравнение: Официална позиция на PHP срещу доклада на watchTowr
| Показател | Официално съобщение на PHP | Данни от изследователите (watchTowr) |
|---|---|---|
| Рейтинг на тежест | CVSS v4.0 – 9.2 | CVSS 10.0 (Критичен риск) |
| Идентификатори | Предстои обявяване при пускането | CVE-2026-109618 и CVE-2026-109619 |
| Тип на уязвимостта | Неуточнен (критичен) | Отдалечено изпълнение на код (RCE) |
| Засегнати клонове | Ще бъдат детайлизирани утре | PHP 5.x, 6.x, 7.x и 8.x сериите |
| Дата и час на пача | Сряда, 21 октомври, 14:00 UTC | Изтеглен напред след изтичане на ембаргото |
Управлявате ли сървъри, базирани на PHP, и подготвихте ли графиците си за незабавно обновяване на системите утре след появата на спешните пачове?
