PHP2Shell: два неотправленных критических кривых PGP RCE (CVSS 9.2)

PHP отправит в 14:00 UTC сегодня, 21 октября по двум важнейшим факторам уязвимости, которые его команда безопасности оценила по шкале CVSS v4.0, но не описала. Исследователи по вопросам безопасности в смотре "Тоур" говорят, что два недостатка позволяют дистанционную реализацию кода. Только четыре поддерживаемых отделения PHP ( 8.2-8.5) могут получить фиксацию, и до сих пор не сообщалось об эксплуатации. Предварительное уведомление последовало за утечкой. 20 октября на сайте HN было указано, что два пропуска PHP с дистанционными кодами будут раскрыты в четверг 22 октября. В плакате говорилось, что у них нет доказательств кроме "источника: поверьте мне, бро". Затем Towr выложил на X, что слитая информация была реальной, что два недостатка были под действием эмбарго, что каждый должен был ждать до четверга и что он не может поделиться больше. PHP опубликовала свое уведомление тем вечером в 19:33 UTC, с релизом на среду, за день до даты смотра Towr. В уведомлении говорится, что PHP может выпускать ранее "если детали либо уязвимости станут достоянием общественности или если в дикой природе появятся доказательства активной эксплуатации". Утечка повлекла за собой наличие недостатков, счета, даты и двух идентификаторов CVE, а не то как они работают. Показатель CVSS 10,0 - это утечка. Рейтинг PHP в версии 4.0 шкалы равен 9,2. В протекающем посте также были перечислены идентифицирующие данные, используемые исследователями CVE-2026-109618 и CVЕ-2026109619. Имен для уведомления PHP…