АНБ предупреждает о двух опасных уязвимостях в PHP и призывает к немедленным обновлениям

Агентство национальной безопасности США (NSA) предупредило о двух опасных уязвимостях в языке программирования PHP, которые могут позволить злоумышленникам выполнять удалённые команды и взять под контроль серверы веб-сайтов и приложений, сообщает Иракское информационное агентство.

В отчёте говорится, что предупреждение опубликовано в среду; уязвимости отмечены как CVE-2026-109618 и CVE-2026-109619 с оценкой 9,2 из 10, при этом подчёркивается, что опасность заключается в уязвимостях в самом языке PHP, а не в отдельных плагинах или системах управления контентом.

Отчёт предупреждает, что эксплуатация этих уязвимостей может привести к доступу к конфиденциальным данным, таким как пароли, токены безопасности и ключи API, а также позволить изменять содержимое сайтов и получать доступ к информации пользователей.

Тесты на безопасность показали, что уязвимости могут быть использованы в средах, где работают системы управления контентом, такие как WordPress, Drupal и Joomla, хотя сами уязвимости находятся не в этих системах, а в языке программирования, от которого они зависят.

В отчёте отмечено, что обнаружение уязвимостей было сделано с участием специализированных исследовательских групп, включая компании Calif и Wiz, в сотрудничестве с командой разработчиков PHP и компанией OpenAI, при этом инструменты искусственного интеллекта способствовали анализу ошибок в коде и выявлению возможных путей их эксплуатации.

Добавляется, что некоторые ошибки, вызвавшие эти уязвимости, датируются более чем десятью годами назад, но сложность их эксплуатации препятствовала обнаружению опасности ранее.

Команда разработчиков PHP выпустила срочные исправления безопасности для устранения уязвимостей, затронувшие версии 8.5.12, 8.4.27, 8.3.36 и 8.2.35, и в отчёте призывают организации и владельцев сайтов немедленно установить эти обновления, предупреждая, что временные защитные меры не обеспечивают полной защиты.