Для PHP 7.4, 8.0 и 8.1 не будет патчей от критических RCE

CISA и CERT-EU предупредили о двух RCE-уязвимостях в ядре PHP (CVE-2026-109618 и CVE-2026-109619) с оценкой CVSS 9.2. Исправления вышли только для PHP 8.5.12, 8.4.27, 8.3.36 и 8.2.35, а ветки 7.4, 8.0 и 8.1 остаются без патчей. Третья уязвимость CVE-2026-115560 пока не закрыта, единственная мера — отключить session.upload_progress.enabled.

• Две RCE в ядре PHP получили CVSS 9.2, эксплойты уже фиксируются
• Патчи есть только для 8.5.12, 8.4.27, 8.3.36 и 8.2.35
• Ветки 7.4, 8.0 и 8.1 не получат исправлений
• Для CVE-2026-115560 доступна лишь настройка session.upload_progress.enabled = 0