Критические уязвимости в PHP (CVE-2026-109618, CVE-2026-109619): разбор и план действий

Выпущены патчи PHP 8.5.12, 8.4.27, 8.3.36, 8.2.35. CERT-EU изменил рекомендацию на немедленную установку исправлений.

20 октября 2026 года PHP Foundation анонсировал внеплановый security-релиз, устраняющий две критические уязвимости, которые могут привести к удаленному выполнению кода (RCE). 21 октября, CERT-EU опубликовал бюллетень Security Advisory 2026-018, в котором присвоил уязвимостям идентификаторы CVE-2026-109618 и CVE-2026-109619 и настоятельно рекомендовал организациям подготовиться к немедленному патчингу.

Почему это важно для вашей инфраструктуры

PHP остается одной из самых распространенных серверных технологий: на нем работают WordPress, Drupal, Joomla, Magento, панели управления (cPanel, Plesk), shared-хостинг и множество кастомных веб-приложений. Уязвимость в самом интерпретаторе означает, что вопрос не в том, «какое из ваших приложений затронуто», а в том, где в вашей инфраструктуре вообще используется PHP, включая скрытые зависимости, вендорные appliances и унаследованные системы.

Неаутентифицированный RCE позволяет атакующему выполнить произвольный код на сервере без учетных данных, что создает прямые пути для внедрения вредоносного ПО, компрометации баз данных и вывода из строя онлайн-сервисов. При этом установка патча сама по себе не вытесняет злоумышленника, уже закрепившегося в инфраструктуре, поэтому после исправления необходима форензическая проверка журналов.

План действий: что необходимо сделать читайте на сайте Смарт-Софт здесь.

По вопросам, связанным с решениями Смарт-Софт Traffic Inspector Next Generation (TING), обращайтесь к вашему менеджеру в MONT или на smart-soft@mont.ru.