https://news.ycombinator.com/item?id=50167754
Готуйтесь оновлювати свої PHP :)

Знайдено дві вразливості

CVE-2026-109618 та CVE-2026-109619 — критичні вразливості PHP
Це дві нові критичні вразливості в ядрі PHP (PHP Core), інформація про які з'явилася 20 жовтня 2026 року.

Їх об'єднали під назвою PHP2Shell.

Головна небезпека: потенційне віддалене виконання довільного коду (Remote Code Execution) на сервері, де працює PHP. За повідомленнями дослідників, експлуатація може бути можливою без автентифікації.

Що відомо про кожну CVE
CVE-2026-109618 Імовірна RCE-вразливість у PHP Core. Дослідники watchTowr повідомили про її відтворення.
CVE-2026-109619 Друга вразливість PHP, потенційно придатна для RCE, зокрема в ланцюжку PHP2Shell.
Попередньо повідомляють про CVSS 9.2, хоча в ранніх витоках згадувалася оцінка 10.0. Технічні причини обох проблем і точні умови експлуатації ще не були офіційно розкриті.

Які версії PHP під загрозою?
За попередніми повідомленнями, вразливості можуть стосуватися PHP 5, 7 і 8, включно з широким набором актуальних інсталяцій PHP 8.

Однак офіційного підтвердження точного переліку вразливих версій поки немає. Це означає, що навіть PHP 8.x не слід автоматично вважати захищеним