26.10.2026

Критические уязвимости PHP: как сработал iTPROTECT Scout

21 октября разработчики PHP выпустили экстренные обновления безопасности, закрывающие уязвимости CVE-2026-109618 и CVE-2026-109619. Обе получили оценку 9,2 по шкале CVSS 4.0. Специалисты iTPROTECT, системного интегратора в области информационной безопасности (ИБ), менее чем за сутки разработали специальные шаблоны проверок для выявления данных уязвимостей и интегрировали их в iTPROTECT Scout, облачный сервис проверки защищенности внешнего ИТ-контура.

Обнаруженные уязвимости CVE-2026-109618 и CVE-2026-109619 позволяют злоумышленнику удаленно выполнить произвольный код без аутентификации и получить контроль над сайтом организации. Под угрозой оказалось значительное количество веб-сервисов, имеющих PHP-хосты. Наиболее уязвимы версии начиная с PHP 5.4, а также такие PHP-инсталляции, как PHP-FPM, Apache с mod_php, php-cgi, FrankenPHP и LiteSpeed.

После выпуска обновлений команда iTPROTECT начала проверять внешние сервисы клиентов при помощи iTPROTECT Scout. На первом этапе, пока технических данных было мало, проверки шли в автоматизированном режиме, то есть дополнялись ручной верификацией специалистов.

Когда в базах CVE и NVD появились подробности, специалисты iTPROTECT за несколько часов разработали собственные шаблоны проверок, протестировали их и интегрировали в сервис iTPROTECT Scout. С 22 октября – меньше, чем через сутки после раскрытия уязвимостей – автоматические тесты на постоянной основе проверяют инфраструктуру клиентов, в том числе на наличие этих уязвимостей.

Буквально через пару часов после появления информации об уязвимостях у нас уже была возможность проверять периметр клиентов на их наличие. 21 октября мы это делали отчасти вручную, так как проблема критичная и требовала оперативности. А с 22-го – автоматические тесты на постоянной основе проверяют внешнюю инфраструктуру клиентов, в том числе на наличие этих уязвимостей. Мы стремимся сделать все, чтобы iTPROTECT Scout помогал клиентам узнавать о критическом риске прежде, чем им воспользуются злоумышленники, и сразу переходить к его устранению.

Дмитрий Иняев

Директор по развитию продуктов и услуг iTPROTECT

Разработчики PHP подчеркивают, что полноценных обходных мер нет и основной способ устранения риска – обновление. Исправления уже доступны в версиях 8.2.35, 8.3.36, 8.4.27 и 8.5.12. Владельцам сервисов на PHP рекомендуется в первую очередь проверить версии на серверах, особенно доступных из интернета, и установить обновления для используемой ветки. Если PHP поставляется через репозитории операционной системы, стоит проверить наличие обновлений у вендора дистрибутива. После установки важно перезапустить постоянно работающие сервисы на PHP и убедиться, что исправления действительно применились.

К новостям