"Это не учения": Критические уязвимости PHP вызывают пожар в интернете
wired ·
Фонд PHP сообщил о двух критических уязвимостях, CVE-2026-109618 и CVE-2026-109619, затрагивающих все установки PHP, обслуживающие веб-запросы начиная с версии 5. Эти недостатки позволяют неавторизованным злоумышленникам выполнять код или читать чувствительные участки памяти, содержащие пароли и API-ключи, на пораженных серверах. Эксперты по безопасности предупреждают, что широкое использование PHP в критически важной инфраструктуре, такой как WordPress и Magento, делает эти ошибки особенно опасными. Ранние атаки были обнаружены компанией Cloudflare еще до официального выпуска патча, что вызвало опасения относительно быстрого распространения червей. В результате несколько правительственных сайтов в Финляндии, Франции и Нидерландах были временно отключены в качестве меры предосторожности. Национальный центр кибербезопасности Великобритании (NCSC) и другие агентства настоятельно рекомендовали организациям немедленно применить обновления или отключить системы, если патчи еще недоступны. Исследователи из компаний Wiz, OpenAI и Calif внесли вклад в выявление этих проблем, причем некоторые открытия были сделаны с помощью инструментов искусственного интеллекта. Власти подчеркивают, что обновление является единственным надежным способом защиты, поскольку полного обходного пути для текущей угрозы не существует.
wired