Через 13 часов после патча PHP 235 сайтов из топ-20 000 остаются уязвимы

Спустя 13 часов после выхода исправлений PHP 8.5.12, 8.4.27, 8.3.36 и 8.2.35 для двух критических RCE-уязвимостей (CVE-2026-109618 и CVE-2026-109619, PHP2Shell) сканирование Tranco топ-20 000 показало: из 428 сайтов, раскрывающих версию PHP, только 107 на исправленном релизе, а 235 работают на ветках, снятых с поддержки.

• Из 428 сайтов с открытой версией PHP лишь 107 (25%) на исправленном релизе
• 235 сайтов (55%) работают на PHP 8.1 и старше, патч им не выйдет
• 68 сайтов используют PHP 7.4, один — PHP 4.4
• Уязвимости позволяют выполнить код без аутентификации и утекать память воркеров