Нейросети нашли критические уязвимости в PHP с рейтингом CVSS 9.2

Нейросетевые инструменты обнаружили в PHP две критические уязвимости — CVE-2026-109618 и CVE-2026-109619. Обеим присвоен рейтинг CVSS 9.2, то есть максимально близкий к наивысшему уровню опасности. По описанию, эксплуатируя их, атакующий может выполнять произвольный код на сервере, причём без прохождения аутентификации. Проблема затрагивает ветки PHP начиная с версии 5.4, то есть присутствует в языке очень давно и потенциально касается большого числа проектов. Исправление оказалось масштабным: патч насчитывает более десяти тысяч строк, что говорит о глубоком характере изменений в кодовой базе. Разбор опубликован на Habr 23 октября 2026 года.