PHP 8.x получил экстренные патчи от двух RCE — но эксплойты уже были в сети

21 октября 2026 года вышли обновления безопасности для всей линейки PHP 8.x, закрывающие две уязвимости удалённого выполнения кода (RCE — когда атакующий запускает произвольный код на чужом сервере без авторизации). Если вы держите что-то на PHP — обновляйтесь немедленно: к моменту выхода патчей рабочие эксплойты уже распространялись в социальных сетях.

Как утечка превратила плановый патч в пожарную тревогу

Изначально релиз был запланирован на 22 октября, 14:00 UTC. Но 20 октября, около 15:00 UTC, два CVE-идентификатора уязвимостей начали гулять по форумам и соцсетям. Вместе с ними распространялся неверный CVSS-балл — 10.0 вместо реального 9.2. Технических деталей в утечке не было, но сам факт идентификаторов запустил цепочку событий.

PHP-проект отреагировал: предварительное объявление вышло в 19:30 UTC того же дня, а релиз сдвинули на сутки вперёд — на 21 октября, 14:00 UTC. Это решение было вынужденным, но именно оно создало следующую проблему.

Около 20:00 UTC компания Calif, одна из фирм, сообщивших об уязвимостях, по ошибке опубликовала видео с работающим proof-of-concept (PoC — демонстрация эксплойта в действии). На видео атака работала против нескольких реальных целей и раскрывала дополнительные детали о природе уязвимостей. Видео быстро удалили, но копии уже разошлись по сети. По данным PHP Foundation, именно это видео ускорило разработку независимых PoC-эксплойтов, которые активно циркулировали 21 октября.

Что нашли и кто нашёл

Уязвимости обнаружила команда Wiz Research — с помощью собственной платформы Wiz Atlas в связке с языковыми моделями Gemini 4 Argon и GPT-5.6 Sol. Это примечательный момент: находка сделана с явным участием ИИ-инструментов в процессе поиска уязвимостей.

Хронология по данным Wiz Research:

От обнаружения до патча прошло ровно два месяца — это стандартный срок для координированного раскрытия (responsible disclosure — процесс, при котором исследователи дают вендору время на исправление до публикации деталей). Проблема в том, что финальный этап этого процесса прошёл хаотично.

Обе уязвимости позволяют неаутентифицированному злоумышленнику выполнять произвольный код — то есть атака возможна без каких-либо учётных данных. Это подтверждено для Drupal и WordPress, двух самых распространённых CMS на PHP.

Кому это нужно прямо сейчас

Обновление критично для всех, кто запускает PHP-приложения в продакшене — особенно на публично доступных серверах. Под угрозой прежде всего сайты на WordPress и Drupal, но любое PHP-приложение потенциально уязвимо, пока не обновлено.

Патчи вышли для всей линейки PHP 8.x. Если вы используете более старые версии PHP — они официально не поддерживаются и патчей не получат. Это отдельный повод для беспокойства.

Для хостинг-провайдеров и DevOps-команд: если вы управляете инфраструктурой с PHP, проверьте, обновил ли провайдер системные пакеты, и не полагайтесь только на это — обновите PHP самостоятельно и проверьте версию явно.

Где процесс сломался и что это значит для индустрии

История с этим патчем — учебный пример того, как координированное раскрытие может пойти не так сразу в нескольких точках. Утечка CVE-идентификаторов без технических деталей создала давление, которое заставило всех участников действовать быстрее запланированного. Ускорение релиза — разумный ответ, но оно же сжало время для всех сторон, включая компанию, которая в итоге опубликовала видео по ошибке.

Второй момент — роль ИИ в обнаружении уязвимости. Wiz Research явно указывает Gemini 4 Argon и GPT-5.6 Sol как инструменты поиска. Это не значит, что модели нашли дыру самостоятельно, но их участие в процессе зафиксировано. Похоже, ИИ-ассистированный security research становится стандартной практикой в крупных командах — и это меняет скорость, с которой уязвимости находятся. Что хорошо для защитников и одновременно хорошо для атакующих, если те же инструменты доступны всем.

PHP Foundation анонсировал меры по усилению процессов безопасности — конкретные детали этих мер в источнике не раскрываются.

Источники

• Simon Willison: Today's PHP Security Release, and How We're Strengthening PHP Security