Екипът по сигурността на PHP предупреждава администраторите да се подготвят за извънредни обновления за сигурност утре, за да отстранят две критични уязвимости, тъй като се съобщава, че информация за слабостите е изтекла преди планираното им оповестяване.

PHP захранва множество уебсайтове и уеб приложения, включително системи за управление на съдържанието (CMS), платформи за електронна търговия и персонализирани уеб услуги.

В бюлетин, публикуван във вторник, екипът по разработка на PHP обяви, че планира да пусне актуализации за сигурност в сряда, 21 октомври, в 14:00 ч. UTC (10:00 ч. източноамериканско време), за да отстрани две уязвимости, всяка с оценка 9.2 по CVSS v4.0.

Екипът по сигурността на PHP също така изпрати известие до своя пощенски списък ANNOUNCE, като призова администраторите да се подготвят да инсталират корекциите за сигурност веднага щом станат налични.

„Запазваме си правото да ги пуснем по-рано, ако подробности за някоя от уязвимостите станат публично достояние или ако се появят доказателства за активна експлоатация в реална среда“, предупреди екипът по сигурността на PHP.

Разработчиците не са разкрили технически подробности относно уязвимостите, включително кои версии на PHP са засегнати, как могат да бъдат експлоатирани или кои версии ще съдържат корекции.

Въпреки това изследователи по сигурността от watchTowr заявиха пред BleepingComputer, че уязвимостите, проследявани като CVE-2026-109618 и CVE-2026-109619, представляват слабости за отдалечено изпълнение на код (RCE), за които се предполага, че засягат версии на PHP 5, 6, 7 и 8.

„През последния час изтекоха две уязвимости за отдалечено изпълнение на код в PHP. Тези уязвимости преди това бяха планирани под ембарго и трябваше да бъдат публикувани в четвъртък в 11:00 ч. ET“, заяви главният изпълнителен директор на watchTowr Бенджамин Харис пред BleepingComputer.

„Въпреки че към този момент не можем да споделим техническа информация поради очевидни причини, предвид чувствителността на ситуацията, можем да потвърдим, че тези уязвимости наистина съществуват. И двете имат оценка CVSS 10 и се предполага, че засягат версии на PHP 5, 6, 7 и 8.“

watchTowr също така заяви, че смята, че успешно е възпроизвела CVE-2026-109618, но няма да публикува техническа информация, докато корекциите за сигурност не станат налични.

Изследователите уточниха, че не са наблюдавали експлоатация на уязвимостите в реална среда, въпреки че информацията според докладите е изтекла преди планираното оповестяване.

В публикация в X от watchTowr предупредиха, че информация за уязвимостите е изтекла преди първоначално планираната дата на разкриване.

„Всички трябваше да изчакаме до четвъртък в 11:00 ч. ET. Изтече информация относно ембарговани RCE уязвимости от тип нулев ден в PHP. Можем да потвърдим, че те са реални“, посочват изследователите.

Предупреждението следва вече изтрита публикация във форума Hacker News на Y Combinator, в която потребител с име „petecooper“ твърди, че две критични PHP уязвимости за отдалечено изпълнение на код ще бъдат разкрити на 22 октомври.

Публикацията, видяна от BleepingComputer, твърди, че и двете уязвимости са с оценка CVSS 10.0 и засягат версии на PHP още от PHP 5.

Тя също така идентифицира уязвимостите като CVE-2026-109618 и CVE-2026-109619, съвпадащи с идентификаторите, споделени по-късно от watchTowr.

Твърденията на watchTowr и публикацията в Hacker News обаче се различават от официалното съобщение на PHP. И двата източника описват уязвимостите с CVSS 10.0, докато екипът по сигурността на PHP присвои на всяка от тях оценка 9.2 по CVSS v4.0.

Освен това от watchTowr цитираха първоначално планирано разкриване в четвъртък, докато PHP официално е насрочил извънредното си издание за сигурност за утре сутрин.

Екипът по сигурността на PHP заявява, че ще публикува пълни технически подробности, засегнатите версии и коригираните издания, когато обновленията за сигурност станат налични.