Разработчики PHP предупредили о новой RCE-уязвимости, получившей идентификатор CVE-2026-115560, патча для которой на данный момент не существует. Проблема обнаружилась в конце прошлой недели, когда администраторы по всему миру ещё разбирались с последствиями уязвимостей PHP2Shell.

Предыдущие баги, объединённые под названием PHP2Shell, уже привели к массовым попыткам эксплуатации, и новая уязвимость добавляет нагрузки на команды сопровождения. Точные детали CVE-2026-115560 разработчики пока не раскрывают, что типично для ситуаций, когда исправление ещё не готово.

Отсутствие патча означает, что единственной защитой остаются обходные меры: ограничение доступа к уязвимым компонентам и мониторинг подозрительной активности. Администраторам приходится вручную закрывать поверхность атаки, пока не выйдет официальное обновление.

Ситуация усугубляется тем, что PHP используется на значительной части веб-серверов, поэтому окно уязвимости затрагивает огромное количество инфраструктур одновременно. Ожидаемо, что в ближайшие дни появятся публичные PoC-эксплойты.

Стоит ожидать волны сканирований и попыток эксплуатации ещё до выхода патча, как это уже было с PHP2Shell. Реакция сообщества, вероятно, сведётся к рекомендациям временно усилить изоляцию сервисов и ускорить обновление сразу после релиза исправления.