Надвигается массовая эксплуатация критических уязвимостей PHP, получивших условное название PHP2Shell. CVE-2026-109618 и CVE-2026-109619 потенциально могут привести к несанкционированному RCE, а подробности уже просочились в сеть, опередив запланированное скоординированное раскрытие информации и выпуск официальных исправлений. По данным CERT-EU, исходя из их оценки CVSS, обе уязвимости могут быть использованы без аутентификации. Во вторник PHP предупредила, что исправления критических проблем, обе с оценкой CVSS 9.2, запланированы на среду, 21 октября 2026 года, в 14:00 UTC (10:00 утра по восточному времени), призвая разработчиков подготовиться к беспромедлительному обновлению. Исправления могут быть внедрены раньше, если будут опубликованы технические подробности об уязвимостях или появятся доказательства их эксплуатации в реальных условиях. В сети эти уязвимости уже успели называть PHP2Shell, что предполагает возможность их использования злоумышленниками для получения доступа к командной оболочке на уязвимых серверах. В описании CVE-2026-109618 и CVE-2026-109619 не указаны ни первопричина, ни затронутый компонент или путь атаки, но в одном из отчетов упоминается, что первая представляет собой ошибку типа «использования памяти после освобождения». Кроме того, по сообщениям общественности, проблема затрагивает все версии PHP, начиная с PHP 5. В WatchTowr утверждают, что ей удалось успешно воспроизвести уязвимость CVE-2026-109618, но в компании воздержались от предоставления дополнительной информации до выпуска исправлений. Вместе с тем, WatchTowr и Huntress ответственно заявляют, что пока не наблюдали случаев эксплуатации ни одной из этих уязвимостей в реальных условиях. Однако, по данным Sansec, массовая эксплуатация, скорее всего, начнётся в течение 15 минут !!! после выхода патча. Но будем, конечно, посмотреть.