Upcoming critical PHP security release (CVE-2026-109618 / -109619)
Команда безопасности PHP предупредила о предстоящем внеплановом выпуске, закрывающем две критические уязвимости — обе получили оценку CVSS v4.0 9.2, то есть максимально высокий уровень опасности. Релиз намечен на среду, 21 октября 2026 года, в 14:00 по UTC. Разработчики призывают всех пользователей PHP готовиться заранее, чтобы обновиться сразу после публикации патчей.
Команда оставляет за собой право выпустить исправления раньше срока — если детали хотя бы одной из уязвимостей станут публичными или появятся свидетельства активной эксплуатации в реальных атаках. Это стандартная практика для критических дыр: задержка с раскрытием нужна, чтобы дать администраторам время на обновление, но при утечке информации или замеченных атаках промедление становится опаснее.
Пока технические подробности не раскрываются, поэтому конкретные компоненты PHP под угрозой неизвестны. Практический вывод прост: стоит заранее проверить процедуру обновления в своих проектах и запланировать окно для срочного патча на 21 октября, а при появлении новостей об эксплуатации — действовать немедленно.