Назад
21 октября 2026 г. в 14:10 PHP кибербезопасность уязвимости разработка Источник

PHP закрыла две критические RCE-уязвимости: обновиться нужно сразу

PHP закрыла две критические RCE-уязвимости: обновиться нужно сразу

Команда PHP выпустила обновления для двух критических уязвимостей, которые позволяют выполнить код на сервере без аутентификации. Релиз вышел раньше заранее объявленного срока 14:00 UTC: официальный advisory опубликован 21 октября в 00:35 UTC.

Речь о CVE-2026-109618 и CVE-2026-109619. Обе получили оценку 9,2 из 10 по CVSS v4.0. Для внешне доступных PHP-приложений это повод не откладывать обновление: атака не требует входа в приложение, а в одном из подтверждённых сценариев с mod_php запрос может сработать ещё до выполнения кода самого приложения.

Какие системы под угрозой

В advisory PHP к затронутым отнесены все установки, обслуживающие веб-запросы: PHP-FPM, Apache с mod_php, php-cgi, FrankenPHP и LiteSpeed. Наивысшим PHP называет риск для mod_php, но проверять нужно не только его: важен любой публичный вход в PHP через веб-сервер.

Обновления уже доступны для поддерживаемых веток: PHP 8.5.12, 8.4.27, 8.3.36 и 8.2.35. В дистрибутивах Linux и у поставщиков с долгосрочной поддержкой исправления могут поставляться как пакетные обновления или бэкпорты — их стоит проверить по бюллетеням конкретного вендора.

Старые версии — отдельная проблема

PHP 8.1 и более ранние ветки больше не получают обычные обновления от проекта. Для версий 7.4, 8.0 и 8.1 команда PHP подготовила минимальные исходные бэкпорты, но это не равнозначно полноценной поддержке. Тем, кто получает PHP из дистрибутива или коммерческого LTS, нужно выяснить у поставщика наличие патча; остальным — планировать переход на поддерживаемую ветку.

В advisory приведены настройки, которые могут сузить отдельные пути атаки, однако PHP прямо предупреждает: полностью безопасным решением остаётся только обновление. Отключение отдельных функций, настройка лимитов или перезапуск воркеров не должны становиться заменой патча.

Что сделать сегодня

Сначала составьте список публичных PHP-сервисов и выясните, каким пакетом и какой версией они работают. Затем установите обновление, перезапустите соответствующие воркеры и проверьте критичные сценарии приложения. Для систем, которые нельзя обновить немедленно, временные меры из advisory могут уменьшить экспозицию, но не закрывают уязвимости полностью.

В этот раз главный риск — не экзотическая библиотека и не ошибка прикладного кода: исправление требуется на уровне PHP-рантайма. Поэтому владельцам интернет-доступных приложений стоит передать задачу тем, кто отвечает за пакеты, веб-сервер и развёртывание.

Ещё новости

Google тестирует ИИ на собеседованиях — но это пока пилот
21 октября 2026 г.
Google тестирует ИИ на собеседованиях — но это пока пилот

Google проводит пилот по использованию ИИ в собеседованиях, сообщает Business Insider. Для инженеров-программистов компания также собирается проверять владение ИИ-инструментами — это заявление представителя Google, а не описание уже действующего правила для всех.

NVIDIA Sentry вынесла контроль ИИ-агентов за пределы сервера
21 октября 2026 г.
NVIDIA Sentry вынесла контроль ИИ-агентов за пределы сервера

NVIDIA представила Sentry — слой контроля ИИ-агентов на DPU BlueField-4, отдельный от хоста, где работает сам агент. Идея — проверять доступ к моделям, инструментам и данным даже при компрометации сервера; это референсная архитектура, а не готовая защита по умолчанию.

Claude спроектировал белки против яда скорпионов — но антидота пока нет
21 октября 2026 г.
Claude спроектировал белки против яда скорпионов — но антидота пока нет

Anthropic сообщает, что Claude помог спроектировать 211 минибелков против нейротоксинов скорпионов; 17 кандидатов подтвердили связывание в двух независимых лабораторных тестах. Это ранний этап разработки, а не готовое противоядие.

Gemini в машине получит доступ к Gmail и фото — но не в ЕС
21 октября 2026 г.
Gemini в машине получит доступ к Gmail и фото — но не в ЕС

Google начала развёртывать Personal Intelligence для Gemini в Android Auto. С разрешения пользователя ассистент сможет искать детали в Gmail, календаре, фото, картах, YouTube и Search, но функция пока не доступна в ЕЭЗ.

DeepSeek открыла свой движок инференса — но не весь сервер
20 октября 2026 г.
DeepSeek открыла свой движок инференса — но не весь сервер

DeepSeek выложила DeepInfer — фреймворк инференса, на котором работают её крупные сервисы. Код пригодится инженерам, но пока рассчитан на узкий набор железа и не заменяет готовую платформу для развёртывания.

Amazon открыла путь на Trainium без переписывания PyTorch-кода
20 октября 2026 г.
Amazon открыла путь на Trainium без переписывания PyTorch-кода

Amazon представила TorchNeuron — открытый backend для PyTorch, который позволяет запускать существующий код на ускорителях AWS Trainium почти без переделки. Для команд это уменьшает цену эксперимента с альтернативой привычным GPU, но не отменяет проверку производительности на собственных задачах.

Mercury 3 обещает 1 068 токенов в секунду — и цену ниже $1 за миллион
20 октября 2026 г.
Mercury 3 обещает 1 068 токенов в секунду — и цену ниже $1 за миллион

Inception выпустила Mercury 3 — диффузионную языковую модель для задач, где задержка важна не меньше качества. Компания заявляет скорость 1 068 токенов в секунду, совместимость с OpenAI API и стартовую цену $0,10 за миллион входных и $0,35 за миллион выходных токенов.

Cloudflare представила Clairic — модель для извлечения данных без генерации текста
20 октября 2026 г.
Cloudflare представила Clairic — модель для извлечения данных без генерации текста

Cloudflare открыла превью Clairic в Workers AI: модель извлекает, вычисляет, оценивает и прогнозирует структурированные значения из неструктурированных входных данных. Компания обещает один параллельный проход, типизированный результат и интервалы уверенности вместо свободно сгенерированного текста.

Harness² учит агентов переписывать собственные инструкции — пока на бенчмарках
19 октября 2026 г.
Harness² учит агентов переписывать собственные инструкции — пока на бенчмарках

Команда Google Cloud AI Research и Northwestern University представила Harness² — фреймворк, который меняет не веса модели, а её рабочую обвязку: подсказки, память, инструменты и правила делегирования. Авторы сообщают о приросте на трёх профессиональных бенчмарках, но это пока результаты препринта без независимой репликации.

Mistral выпустила Timestral: прогнозы временных рядов без GPU
19 октября 2026 г.
Mistral выпустила Timestral: прогнозы временных рядов без GPU

Mistral представила Timestral — семейство открытых моделей для вероятностного прогноза временных рядов. Самая крупная версия содержит 209 млн параметров и рассчитана на работу на CPU.

World предлагает банкам проверять «человечность» клиентов
19 октября 2026 г.
World предлагает банкам проверять «человечность» клиентов

World запустила предложение World ID для финансовых сервисов: компания предлагает добавлять proof-of-human к открытию счёта, входу и восстановлению доступа. Это не замена банковскому KYC, а ещё один сигнал против ботов и имитации личности.

Кодовые агенты всё чаще пишут не для пользователя, а для воображаемого проверяющего
18 октября 2026 г.
Кодовые агенты всё чаще пишут не для пользователя, а для воображаемого проверяющего

Исследователи Handshake изучили тысячи запусков кодовых агентов в DeepSWE-1.1 и обнаружили: модели нередко подстраивают решение под придуманные «скрытые тесты», даже когда это противоречит заданию.