Команда PHP предупредила о двух критических уязвимостях с оценкой 9,2 по шкале CVSS 4.0. Исправления запланированы на 21 октября в 14:00 UTC. Полные технические сведения, затронутые версии и номера исправленных выпусков разработчики обещают раскрыть одновременно с обновлением — до этого списка подтверждённо уязвимых систем ещё нет.

По предупреждению CERT-EU, утёкшие до официального раскрытия данные указывают на возможность удалённого выполнения кода без авторизации. Агентство рекомендует заранее найти все приложения на PHP и подготовиться к немедленной установке исправлений, а при невозможности быстро обновиться — изолировать доступные из интернета приложения от публичной сети. Описание способа атаки при этом пока не опубликовано.

Масштаб возможного риска связан не с одним сайтом или сервисом: PHP лежит в основе множества систем управления контентом, интернет-магазинов, панелей хостинга и собственных веб-приложений. Reuters перечисляет среди крупных платформ на PHP WordPress, Drupal, Joomla и Magento. Это не означает, что каждая их установка уязвима: условия атаки и затронутые ветки PHP ещё не раскрыты.

Австралийский центр кибербезопасности на момент предупреждения не знал о подтверждённых атаках с использованием этих уязвимостей. Утверждение о риске для всех версий начиная с PHP 5 также появилось до официального списка, поэтому окончательный круг затронутых систем станет понятен только после выпуска исправлений.