• CNews FORUM 12 ноября
• CNews AWARDS 12 ноября
• Школа Роста
• КИИ в облаке
• 10 лет российского бэкапа
• SDN: Сеть как дом
• История облаков
• 30 лет ERP России
• Цифровизация
• Импортозамещение
• Безопасность
• ИТ в госсекторе
• ИТ в банках
• ИТ в торговле
• Телеком
• ИТ-бизнес
• Рейтинги

22 Октября 2026 10:21 22 Окт 2026 10:21 |

Специалисты Bi.Zone WAF зафиксировали попытки эксплуатации двух критических уязвимостей в PHP, для которых на момент обнаружения атак еще не было выпущено исправление. Уязвимости CVE-2026-109618 и CVE-2026-109619 позволяют удаленно выполнять команды на веб-сервере без авторизации. Об этом CNews сообщили представители Bi.Zone.

Уязвимости CVE-2026-109618 и CVE-2026-109619 получили оценку 9,2 из 10 по шкале CVSS 4.0. По предоставленным техническим данным, они затрагивают версии PHP с 5.4 до 8.5.4 включительно. А по предварительным данным исследователей, уязвимости связаны с ошибкой use-after-free — обращением к области памяти после ее освобождения.

Проблемы затрагивают механизм обработки загрузки файлов session.upload_progress. При определенных условиях злоумышленник может отправить специально сформированный POST-запрос к веб-приложению и добиться выполнения команд от имени процесса PHP. Для этого не требуется предварительная авторизация. Успешная эксплуатация может привести к компрометации веб-сервера и поставить под угрозу данные и системы, доступные процессу PHP.

В сети опубликованы технические материалы об эксплуатации уязвимостей. По данным исследователей, для распространенных сборок PHP подготовлены параметры, упрощающие настройку эксплоита. Это может снизить порог входа для злоумышленников и повысить риск атак на доступные из интернета веб-приложения.

Алексей Романов, руководитель Bi.Zone WAF: «В российском сегменте интернета обнаружено около 50 тыс. потенциально уязвимых веб-приложений на PHP. Организациям рекомендуется заранее проверить используемые версии PHP и подготовиться к установке обновлений сразу после их выхода. Если установленная версия больше не поддерживается разработчиками и для нее нет исправления, следует рассмотреть переход на поддерживаемую версию или временное ограничение доступа к уязвимому приложению из интернета».

Bi.Zone WAF фильтрует HTTP-запросы до того, как они достигают веб-приложения. Для CVE-2026-109618 и CVE-2026-109619 специалисты разработали правило, которое выявляет типовые варианты атак по характерным признакам в теле запроса. Оно помогает снизить риск эксплуатации уязвимостей, но не гарантирует блокировку всех вариантов атак: измененный набор данных или другой способ доставки запроса могут обойти правило.

Bi.Zone EASM помогает инвентаризировать внешние ИT-активы компании и выявлять доступные из интернета сервисы и веб-приложения. Платформа выделяет обнаруженные приложения на PHP и показывает сведения об их версиях. Это позволяет специалистам по кибербезопасности определить потенциально уязвимые активы и приоритизировать их проверку.