21 октября раскрыли две критические уязвимости PHP — CVE-2026-109618 и CVE-2026-109619. Каждой присвоена оценка 9,2 по шкале CVSS. Их эксплуатация может позволить злоумышленнику выполнять код без аутентификации с правами веб-сервера.
Уязвимыми названы версии PHP начиная с 5.4. По данным материала, уязвимости выявили с помощью моделей Gemini 4 Argon и GPT-5.6 Sol. Патч для их устранения насчитывает более 10 тысяч строк кода.
Уязвимости с возможностью удалённого выполнения кода без аутентификации создают риск для систем на затронутых версиях PHP. При этом в исходном материале не приводятся сведения о доступности исправления или конкретные рекомендации по защите.