23 октября 2026 г.
CVE-2026-109618 в PHP: баг нашли с помощью ИИ, он открывает удалённый запуск кода
Две уязвимости PHP дают удалённый запуск кода без входа в систему: оценка CVSS v4.0 9,2 из 10. Исправления вышли 21 октября 2026 года в версиях 8.2.35, 8.3.36, 8.4.27 и 8.5.12.
Calif начал аудит 1 августа, первый репорт отправил 11 августа, PoC удалённого запуска кода появился 14 августа. Wiz нашла первую уязвимость 19 августа и подтвердила запуск кода 20–21 августа. По словам Calif, решали знание цели и история уязвимостей, а не только умение промптить.
Сэм Альтман сказал в четверг: «Я больше не думаю, что мы сможем залатать все баги». Calif перечисляет уязвимые приложения на PHP: WordPress, Drupal, Joomla и ещё восемь, включая Magento и Nextcloud.
Не хотите разбираться сами? Внедряем ИИ в ваш бизнес: задачи без лимита, одна цена в месяц, отмена в любой момент.
Что делать. Обновите PHP до 8.5.12, 8.4.27, 8.3.36 или 8.2.35. Обновление единственная полная защита, временные настройки её не заменяют. Пока обновиться нельзя, задайте в php.ini, конфиге PHP-FPM или веб-сервера memory_limit=-1, post_max_size=8M, upload_max_filesize меньше post_max_size, session.upload_progress.enabled=0 и fatal_error_backtraces=0. Через ini_set() или .user.ini их не задают.
Для PHP 8.1, 8.0 и 7.4 официального исправления нет, опубликованы минимальные бэкпорт-ветки в репозитории php-src на GitHub.
Патчей для PHP 8.1 и старше официально нет, есть только бэкпорт-ветки в php-src.
Первоисточник