21 октября 2026 года АНБ опубликовало предупреждение о PHP. Оно призвало организации, использующие этот язык, оперативно установить обновления, устраняющие две критические уязвимости. Если систему нельзя обновить немедленно, предупреждение рекомендует отключить её от сети до полного устранения риска.
В бюллетене проекта PHP указаны CVE-2026-109618 и CVE-2026-109619 — две уязвимости, которые могут позволить удалённое выполнение кода без аутентификации. Исправлены версии PHP 8.5.12, 8.4.27, 8.3.36 и 8.2.35. Администраторам, использующим пакеты дистрибутивов или поставщиков расширенной поддержки, следует проверить обновления у своего поставщика. PHP 8.1 и более ранние версии больше не получают исправлений безопасности от основного проекта.
Проект PHP указывает, что единственное полное решение — установить версию с исправлением; временные меры могут ограничить некоторые способы атаки, но не обеспечивают полной защиты системы.
Почему это важно для наших исследований?
Указанные уязвимости относятся к PHP. Они не доказывают, что какой-либо сервис Fondation UvH использует уязвимую версию; эта заметка не является аудитом её инфраструктуры. Она напоминает, что безопасность цифровых сервисов также зависит от учёта программных компонентов и своевременной установки обновлений наряду с оценкой моделей искусственного интеллекта.