PHP готовит срочные исправления двух критических уязвимостей

Команда безопасности PHP 20 октября предупредила о внеочередном выпуске с исправлением двух критических уязвимостей. Публикация запланирована на 21 октября в 14:00 UTC — это 19:00 по времени Алматы. На момент подготовки новости пакет исправлений ещё только ожидается.

Что подтверждено официально

Обеим уязвимостям присвоена оценка 9,2 по CVSS v4.0. Разработчики допускают более ранний выпуск, если технические подробности станут публичными или появятся признаки реальных атак. Полный список затронутых и исправленных версий обещают раскрыть вместе с обновлением. До этого нельзя уверенно объявлять безопасной конкретную установленную версию.

Что можно сделать заранее

Практический шаг для владельца сайта — уточнить у администратора или хостинга, какая версия PHP обслуживает приложение и кто отвечает за обновления. Подготовьте резервную копию и проверку основных функций: авторизацию, оформление заказа, отправку форм и фоновые задачи. Сам факт наличия копии полезно подтвердить проверкой восстановления.

Как не перепутать выпуски

Тестовые сборки новой ветки PHP не заменяют исправление безопасности действующей системы. После выхода официального уведомления нужно сверить рекомендации проекта и поставщика пакетов, затем проверить сайт после установки. Если обслуживанием занимается хостинг, запросите подтверждение применения исправления. Эти подготовительные действия — редакционная рекомендация BrookStone; номера готовых патчей будут известны из нового сообщения PHP.

По материалам: PHP Security Team. Самостоятельный пересказ BrookStone.