В PHP исправили две критические уязвимости с удалённым выполнением кода

21 октября 2026 года команда PHP выпустила обновления, исправляющие две критические уязвимости. Они могут позволить удалённо выполнить код без аутентификации. Риск касается установок PHP, обслуживающих веб-запросы, в том числе PHP-FPM, Apache с mod_php, php-cgi, FrankenPHP и LiteSpeed.

По оценке команды PHP, наибольшему риску подвержены конфигурации Apache с mod_php. В описании уязвимостей приведён сценарий, при котором запрос без аутентификации может вызвать атаку до выполнения кода приложения.

Одна уязвимость связана с нехваткой памяти: её обработка может прервать работу PHP, пока внутренние данные запроса инициализированы лишь частично. Затем очистка запроса может принять некорректные данные за корректные. Другая возникает, когда внутреннее состояние запроса сохраняется после освобождения памяти и может использоваться более поздним запросом, обработанным тем же рабочим процессом, до обычной повторной инициализации.

Исправления вошли в PHP 8.5.12, 8.4.27, 8.3.36 и 8.2.35. Проект рекомендует пользователям обновиться. Поставщики Linux-дистрибутивов и LTS получили патчи заранее, поэтому актуальные пакеты следует проверять у своего поставщика.

PHP-проект больше не выпускает обновления для PHP 8.1 и более старых версий. Для PHP 7.4, 8.0 и 8.1 команда безопасности подготовила минимальные исправления исходного кода для тех, кто собирает PHP самостоятельно или не имеет доступа к LTS-поставщику. Некоторые дистрибутивы и поставщики LTS могут отдельно выпускать исправления для этих версий.

Изображение:

Редакторы перевода: Соловьев В., Пеков А.