Неделя PHP2Shell: утечка эмбарго, бэкдор в LiteLLM и ключи eMudhra

С 17 по 24 октября 2026 года PHP выпустила экстренные патчи для двух pre-auth RCE с CVSS 9.2 (CVE-2026-109618 и CVE-2026-109619), затронувших версии с 5.4. Релиз сдвинули на день раньше из-за утечки эмбарго; в LiteLLM 1.107.0 на PyPI попал бэкдор через неотозванный мастер-ключ, живший с мая, а у eMudhra нашли восемь промежуточных ключей, выводимых из публичных сертификатов.

• CVE-2026-109618 и CVE-2026-109619: CVSS 9.2, RCE без аутентификации в PHP-FPM, mod_php, php-cgi
• Исправлено в PHP 8.5.12, 8.4.27, 8.3.36 и 8.2.35; ветки 7.4–8.1 получили лишь частичные бэкпорты
• LiteLLM 1.107.0 с бэкдором был на PyPI около 11:39–13:23 UTC 21 октября, образы — до 14:20
• Мастер-ключ LiteLLM утёк в публичный репозиторий 27 мая и не был отозван 136 дней