BI.ZONE
Новости
BI.ZONE зафиксировала первые попытки эксплуатации уязвимостей PHP: под угрозой 50 тысяч веб‑приложений в России

BI.ZONE зафиксировала первые попытки эксплуатации уязвимостей PHP: под угрозой 50 тысяч веб‑приложений в России

Специалисты BI.ZONE WAF зафиксировали попытки эксплуатации двух критических уязвимостей в PHP, для которых на момент обнаружения атак еще не было выпущено исправление. Уязвимости CVE‑2026‑109618 и CVE‑2026‑109619 позволяют удаленно выполнять команды на веб‑сервере без авторизации

22 октября 2026 г.

Уязвимости CVE‑2026‑109618 и CVE‑2026‑109619 получили оценку 9,2 из 10 по шкале CVSS 4.0. По предоставленным техническим данным, они затрагивают версии PHP с 5.4 до 8.5.4 включительно. А по предварительным данным исследователей, уязвимости связаны с ошибкой use‑after‑free — обращением к области памяти после ее освобождения.

Проблемы затрагивают механизм обработки загрузки файлов session.upload_progress. При определенных условиях злоумышленник может отправить специально сформированный POST‑запрос к веб‑приложению и добиться выполнения команд от имени процесса PHP. Для этого не требуется предварительная авторизация. Успешная эксплуатация может привести к компрометации веб‑сервера и поставить под угрозу данные и системы, доступные процессу PHP.

В сети опубликованы технические материалы об эксплуатации уязвимостей. По данным исследователей, для распространенных сборок PHP подготовлены параметры, упрощающие настройку эксплоита. Это может снизить порог входа для злоумышленников и повысить риск атак на доступные из интернета веб‑приложения.

В российском сегменте интернета обнаружено около 50 тысяч потенциально уязвимых веб‑приложений на PHP. Организациям рекомендуется заранее проверить используемые версии PHP и подготовиться к установке обновлений сразу после их выхода. Если установленная версия больше не поддерживается разработчиками и для нее нет исправления, следует рассмотреть переход на поддерживаемую версию или временное ограничение доступа к уязвимому приложению из интернета.

Алексей Романов

Руководитель BI.ZONE WAF

BI.ZONE WAF фильтрует HTTP‑запросы до того, как они достигают веб‑приложения. Для CVE‑2026‑109618 и CVE‑2026‑109619 специалисты разработали правило, которое выявляет типовые варианты атак по характерным признакам в теле запроса. Оно помогает снизить риск эксплуатации уязвимостей, но не гарантирует блокировку всех вариантов атак: измененный набор данных или другой способ доставки запроса может обойти правило.

BI.ZONE EASM помогает инвентаризировать внешние IT‑активы компании и выявлять доступные из интернета сервисы и веб‑приложения. Платформа выделяет обнаруженные приложения на PHP и показывает сведения об их версиях. Это позволяет специалистам по кибербезопасности определить потенциально уязвимые активы и приоритизировать их проверку.