Разработчики PHP выпустили срочные исправления для CVE-2026-109618 и CVE-2026-109619. Обеим уязвимостям присвоена оценка 9,2 из 10. Под угрозой могут оказаться серверы, которые обрабатывают веб-запросы на PHP, в том числе старые версии языка. Исследователи предупреждают о возможности удалённого выполнения кода или чтения памяти процесса. В такой памяти бывают пароли, токены и ключи. Сообщения о первых попытках атак появились ещё до публикации подробностей.
Практический шаг для владельца сайта: выяснить у хостинга или своей команды точную версию PHP, проверить объявление о безопасности и обновить среду. Обновление WordPress или другого приложения само по себе не означает, что обновился PHP на сервере. Официальную поддержку получают ветки 8.2 и новее; для старых установок нужно отдельно проверять исправления поставщика либо планировать миграцию. Если быстро обновиться нельзя, специалисты рекомендуют временно изолировать уязвимый сервис или снять его с публичного доступа. Масштаб риска серьёзен, но фраза «весь интернет взломан» была бы неверной: наличие уязвимого ПО и успешная атака на конкретный сайт не одно и то же.