Amazon предупредила о массовой эксплуатации уязвимостей PHP

Amazon сообщила о широкой эксплуатации новых уязвимостей PHP (CVE-2026-109618 и CVE-2026-109619), позволяющих выполнять код без авторизации. Около 1,5 млн из 2,6 млн PHP-серверов (58%) работают на версиях без исправлений и требуют полного обновления ПО. Патчи вышли 21 октября в версиях 8.5.12, 8.4.27, 8.3.36 и 8.2.35.

• Попытку эксплуатации зафиксировали 17 октября, за 4 дня до выхода патчей
• 1,5 млн из 2,6 млн PHP-хостов не имеют доступного исправления
• Уязвимости нашли с помощью ИИ-инструментов Gemini 4 Argon и GPT-5.6 Sol
• PHP 8.2 перестанет поддерживаться 31 декабря