PHP закрыл две критические уязвимости, позволявшие выполнить код без аутентификации
PHP Foundation's Overview of CVE-2026-109618 and CVE-2026-109619
В PHP 8.5.12, 8.4.27, 8.3.36 и 8.2.35 исправлены две критические уязвимости: переполнение памяти (OOM) с последующей порчей памяти и использование освобождённой памяти из-за устаревшего состояния. На Apache с mod_php атаку можно провести ещё до запуска кода приложения, RCE подтверждён и на PHP-FPM. PHP Foundation честно признаёт: исправление застряло на месяцы из-за консенсусного принятия решений и нехватки ресурсов, а за два дня до релиза CVE утекли в сеть.
Мы не будем делать вид, что всё иначе: задержка стала структурным провалом, вызванным как процессом принятия решений в команде безопасности, так и нехваткой ресурсов.