Про уязвимости Remote Code Execution - PHP "PHP2Shell" (CVE-2026-109618, CVE-2026-109619). PHP - популярный серверный язык программирования, используемый для разработки веб-приложений. Уязвимости из октябрьского Linux Patch Wednesday. Уязвимость CVE-2026-109618 связана с некорректной обработкой ошибок нехватки памяти (OOM), а уязвимость CVE-2026-109619 связана с использованием устаревших ссылок на освобождённые области памяти (use-after-free) в глобальных структурах данных PHP. Обе они позволяют злоумышленнику удалённо выполнить произвольный код при обработке специально сформированных запросов. Эксплуатация уязвимости может привести к полной компрометации уязвимой системы, краже конфиденциальных данных, изменению хранящейся информации и установке вредоносного ПО. Скомпрометированная система также может стать точкой проникновения во внутреннюю сеть организации и дальнейшего развития атаки. Уязвимости затрагивают продукты, использующие PHP, включая межсетевые экраны, системы управления сетевой безопасностью и платформы развёртывания приложений.
⚙️ О первопричине уязвимостей было известно специалистам The PHP Foundation с 2024 года, однако они приоритизировали её устранение только с 11 августа 2026 года. Выпуск обновлений был запланирован на 22 октября, но из-за нарушения эмбарго обновления вышли на день раньше - 21 октября. Для устранения уязвимостей рекомендуется обновиться до PHP 8.5.12, 8.4.27, 8.3.36 или 8.2.35 либо установить исправленные пакеты дистрибутива. Для неподдер
