PHP Group предупредила о двух критических уязвимостях с оценкой 9,2 балла

PHP Group сообщила о подготовке заплаток для двух критических уязвимостей, получивших оценку 9,2 балла по шкале CVSS 4.0. Официальное предупреждение не раскрывает ни условий эксплуатации брешей, ни перечень уязвимых версий. Эти данные появятся синхронно с выпуском самих исправлений.

Релиз патчей запланирован на 21 октября, 17:00 по московскому времени. Единственный сценарий, способный ускорить публикацию, — утечка деталей в публичное поле или начало реальных атак. Пока же инженеры могут только инвентаризировать инфраструктуру, чтобы точно знать, где развёрнут PHP.

PHP обслуживает значительную долю веб-приложений — от открытых CMS вроде WordPress до самописных систем в госсекторе и финансах. Даже небольшая задержка с установкой обновлений на критичных участках превращает легитимный сервер в точку входа. С учётом того, что патчи выходят во второй половине дня во вторник, окно для тестирования до наступления пиковых нагрузок будет сжато.

Чем опасен разрыв между предупреждением и подробностями

Уязвимости с баллом 9,2 обычно допускают удалённое выполнение кода без аутентификации или обход базовых защит. Пока PHP Group держит техническую информацию закрытой, злоумышленники могут обратиться к диффам предыдущих обновлений или попытаться найти закономерности самостоятельно. Для российских компаний риск усиливается тем, что нативный PHP широко используется в локальных сборках веб-серверов, а также в составе устаревших LAMP-стеков, где компоненты обновляются нерегулярно. Если уязвимость позволяет компрометацию до аутентификации, под ударом окажутся публичные порталы, личные кабинеты и межведомственные шлюзы, традиционно написанные на PHP. Практика показывает: даже при оперативном патче часть инфраструктуры может остаться уязвимой из-за неучтённых инстансов в контейнерах и dev-окружениях.

Что делать до и после выхода патчей

Прямо сейчас администраторам стоит провести ревизию всех площадок, где используется PHP, включая тестовые и staging-среды. Сразу после публикации патчей 21 октября необходимо установить обновления на все обнаруженные экземпляры, начиная с интернет-доступных серверов. Если PHP Group перенесёт дату из-за утечки или атак — переходить к обновлению немедленно. Также стоит заранее подготовить конфигурации для быстрой выкатки и убедиться, что системы мониторинга целостности файлов и журналов веб-сервера включены.