Две критические CVE в PHP и GitLab: уязвимости выходят быстрее, чем их успевают закрыть

Значимый прорыв формирует отрасль ИИ: USSC 51 минуту назад Краткое содержание статьи Две критические CVE в PHP и GitLab: уязвимости выходят быстрее, чем их успевают закрыть 5 мин 1. 8K Блог компании Уральский центр систем безопасности PHP * Обзор Во второй половине октября две критические уязвимости в PHP и GitLab заставили компании по всему миру срочно обновлять серверы, а часть государственных и коммерческих сайтов на время ушла в офлайн. Обе позволяют выполнить код на сервере без авторизации, и обе затрагивают версии, выпущенные больше десяти лет назад.

PHP2Shell, или угроза 70% веб-приложений21 октября команда PHP выпустила экстренные обновления, закрывающие две уязвимости под общим названием PHP2Shell. Им присвоены идентификаторы CVE-2026-109618 и CVE-2026-109619, каждая получила 9,2 балла из 10 по шкале CVSS 4. Первая ошибка проявляется, когда запрос упирается в лимит памяти в неудачный момент и внутренние структуры остаются инициализированными лишь частично.

Технические детали

Вторая относится к классу use-after-free. После фатальной ошибки процесс сохраняет ссылку на уже освобожденную память, и следующий запрос, попавший в тот же worker, обращается к ней раньше, чем процесс очистит его для нового запроса. В обоих случаях атакующему достаточно отправить специально подготовленный HTTP-запрос, чтобы выполнить произвольный код, не имея учетной записи.

Масштаб проблемы определяется тем, насколько распространен PHP. На нем работает около 70% сайтов, серверный язык которых известен. Уязвимы все способы обслуживания запросов, включая PHP-FPM, Apache с mod_php, php-cgi, FrankenPHP и LiteSpeed.

Самым опасным вариантом команда PHP называет mod_php, где вредоносный запрос срабатывает еще до запуска кода сайта. Затронуты версии вплоть до 5. 4, и уязвимым оказывается даже приложение из одной строки.

Отраслевые последствия

Обновить WordPress, Drupal или плагины недостаточно, потому что ошибка находится в самом интерпретаторе на сервере. Исправления вошли в PHP 8. 35, а для неподдерживаемых веток 7.

1 команда выпустила исправления для самостоятельной сборки. GitLab и двенадцать лет уязвимых релизовВ тот же день GitLab закрыл уязвимость CVE-2026-110264 с максимальной оценкой 10. Целочисленное переполнение при компиляции специально составленного регулярного выражения позволяет неавторизованному пользователю выполнить код на сервере.

Ошибка находится в Onigmo, встроенном движке регулярных выражений Ruby, который GitLab поставляет в своих пакетах. Этот движок входит в GitLab с версии 7. 0, поэтому уязвимы все релизы с 2014 года.

Событие, по словам экспертов, усилит конкуренцию в сфере ИИ.