В ядре PHP выявлена критическая уязвимость CVE-2026-109618 (CVSS 9.8): обработка ошибки нехватки памяти через longjmp() оставляет память запроса неинициализированной и ведёт к удалённому выполнению кода.
Мнение эксперта
- Для российского рынка риск высок из-за обилия самописных и legacy-систем на PHP, которые годами не обновляются и часто работают на старых ветках без поддержки upstream.
- Интегратору стоит срочно провести инвентаризацию версий PHP на инфраструктуре заказчиков и запланировать обновление либо виртуальный патчинг на WAF до установки апдейта.
- Требование к поставщикам ПО — подтвердить актуальность ветки PHP: устаревшие релизы без патчей надо переводить в план миграции как ИБ-риск, а не как технический долг.
