PHP готовит экстренный релиз из-за двух критических уязвимостей
Upcoming Critical PHP Security Release
Команда безопасности PHP предупредила о внеплановом релизе, который закрывает две критические уязвимости с оценкой CVSS v4.0 9.2. Патч выйдет в среду, 21 октября 2026 года, в 14:00 UTC. Разработчиков просят заранее подготовиться к обновлению. Если детали уязвимостей станут публичными или появятся признаки их активной эксплуатации, релиз могут выпустить раньше срока.
Мы оставляем за собой право выпустить релиз раньше, если детали любой из уязвимостей станут публичными или если мы увидим свидетельства активной эксплуатации в реальных условиях.
- petervandijck
Я только что отключил свои примерно 10 сайтов, пока не выйдет исправление. Несколько часов простоя против беспокойства о том, что что-то внедрили в мой кэш или базу данных.
- TekMol
Многие здесь призывают к более раннему выпуску патча.
Но неясно, уменьшит ли ранний выпуск исправления ущерб или увеличит его.
Наличие патча, вероятно, облегчает создание эксплойта. Так что количество атак возрастёт.
Нет способа скоординировать весь мир на более раннее время. Я бы предположил, что число людей, которым нужно пропатчить свои экземпляры, составляет сотни тысяч.
У всех, кто активно следит за темой, уже есть возможность отключить свои экземпляры.
Так что ударить в набат и заставить как можно больше людей отключить свои веб-серверы сейчас, а патчить в 14:00, может быть, и есть лучший вариант с точки зрения минимизации ущерба.
- reddalo
Вышел Release Candidate пропатченной версии! Надеюсь, скоро последует и стабильный релиз. Они уже атакуют сайты в дикой природе.
- janmo
Cloudflare: "Мы наблюдаем ранние атаки и обновляем меры защиты по мере появления новых векторов."
https://x.com/dok2001/status/2112811965735202970
Когда они наконец выпустят патч?!
- nr378
Учитывая, что это затрагивает все версии PHP за последнее десятилетие, и что инструкции по эксплойту циркулируют в топе твиттера, и что исправления пока нет, не кажется неразумным предположить, что все крупные сайты на PHP уже скомпрометированы?
Инструкции по обновлению здесь должны включать сожжение ваших хостов и начало с нуля.
- anthonyeden
Насколько я могу судить, Cloudflare смягчил это через свой WAF [0] (бесплатный и платный).
Alpine GitLab[1] указывает, что версии PHP, которые будут выпущены 21-10-2026 14:00:00 UTC, это:
8.5.12
8.4.27
8.3.36
8.2.35
[0] https://developers.cloudflare.com/waf/change-log/changelog/
[1] https://gitlab.alpinelinux.org/groups/alpine/-/work_items?sh...
- bwoebi
Для всех, кто недоумевает, почему патч ещё не вышел:
Есть несколько человек, ответственных за выпуск релиза. Они всё ещё спят.
Честно говоря, я тоже в шоке, что эксплойт был опубликован так быстро после утёкшего видео (которое и было причиной, почему объявление вообще произошло, именно в это время). Мы ожидали немного больше времени, даже с учётом LLM...
- redox99
Эксплойт уже вышел. Да, похоже, это войдёт в историю как худшая уязвимость всех времён. А теперь с LLM вы, вероятно, увидите десятки тысяч агентов, взламывающих любой сайт на PHP в течение нескольких часов.
- dawnerd
Я попробовал на личном сайте, смог сдампить всю базу данных. Немедленно отключил все свои сайты. Это плохо.
- Gigachad
Демонстрационное видео сегодня гуляло по Твиттеру, и, по-видимому, proof of concept также приватно распространяется. В видео показано, как вставляют что-то в URL и затем получают шелл на сервере. Выглядит совершенно катастрофично.
Я думаю, лучший курс действий — просто отключить свой сервер до выхода патча, а затем поднять его после того, как пропатчите.