PHP2Shell вскрыл слабость координированного раскрытия уязвимостей

Критические уязвимости PHP2Shell (CVE-2026-109618 и CVE-2026-109619, рейтинг 9.2) вышли из-под эмбарго раньше срока: Chainguard опубликовала образы с патчем примерно за шесть часов до согласованного времени. PHP-проект выпустил исправления на сутки раньше плана, а Cloudflare и AWS сообщили об эксплуатации ещё до раскрытия.

• Chainguard выпустила образы с патчем 21 октября в 07:41 UTC, за ~6 часов до эмбарго
• PHP-проект перенёс публикацию патчей с 22 на 21 октября, на сутки раньше
• Cloudflare видела тысячи попыток эксплуатации за 10 часов до анонса
• AWS зафиксировала попытку эксплуатации 17 октября, за 4 дня до раскрытия