Уязвимости обнаружили накануне официального анонса исправлений, однако информация быстро распространилась, вызвав масштабное отключение государственных ресурсов в ряде стран. Финляндия, Нидерланды и Франция временно приостановили работу части официальных интернет-ресурсов, чтобы минимизировать риски атак.
По данным W3Techs, примерно 70% всех известных веб-серверов используют PHP, включая большинство сайтов на платформе WordPress. Две критические ошибки позволяли удалённым пользователям выполнять собственные команды на сервере без аутентификации, обходя стандартные меры защиты вроде логинов и плагинов безопасности.
Обе уязвимости получили максимальный рейтинг опасности CVSSv4 9,2, что означает высокую вероятность успешных атак и значительный ущерб. Ошибка CVE-2026-109618 возникает при нехватке памяти сервера в процессе обработки запросов, позволяя интерпретировать незавершённые данные как завершённые. Вторая уязвимость, CVE-2026-109619, связана с тем, что остатки предыдущего запроса остаются в оперативной памяти и могут использоваться следующим посетителем.
Исправления вышли заранее, 21 октября 2026 года, в версиях PHP 8.5.12, 8.4.27, 8.3.36 и 8.2.35. Однако эксперты предупреждают, что быстрое обновление всех серверов невозможно, поэтому атаки продолжатся даже после выпуска патча.
Исследователи отмечают особую опасность конфигурации mod_php на базе Apache, которая оказалась наиболее уязвимой. Кроме того, широко распространённый функционал отслеживания прогресса загрузки файлов оказался одним из основных каналов эксплуатации уязвимости, хотя эта функция включена по умолчанию десятилетиями и редко используется владельцами сайтов.
Специалисты рекомендуют организациям немедленно установить обновления, отключить публичный доступ к интернет-серверам или временно перевести ресурсы в автономный режим до устранения проблемы. По оценке экспертов, около 59% серверов, публично указывающих версию PHP, работают на устаревших версиях старше 8.1, что значительно усложняет массовое устранение уязвимости.