- Ещё одна критическая уязвимость безопасности PHP в 2026 году?26¢26 %
The recent coordinated disclosure and patching of two critical PHP vulnerabilities (CVE-2026-109618 and CVE-2026-109619) on October 21 has strongly shaped trader sentiment. These CVSS 9.2 flaws enable unauthenticated remote code execution across nearly all PHP versions serving web requests, including via out-of-memory handling and stale state issues in the core runtime. Patches for supported branches (8.2.35, 8.3.36, 8.4.27, and 8.5.12) were released immediately, with demonstrated exploits and expected mass attacks prompting urgent updates from the PHP Foundation and major cloud providers. This swift remediation, combined with the absence of further confirmed critical issues in supported releases, underpins the 73.5% market-implied probability against another such flaw emerging before year-end, reflecting trader focus on these as the primary 2026 event.
Правила
Этот рынок будет рассчитан на «Да», если критическая уязвимость в PHP впервые станет публично известна в период от создания рынка до 31 декабря 2026 г., 23:59 ET и к этому сроку будет соответствовать всем приведённым ниже требованиям. В противном случае этот рынок будет рассчитан как «Нет». Публичное раскрытие означает общедоступную информацию, достаточную для выявления конкретной уязвимости, будь то официальное предупреждение, публикация исследователя, утечка или публичный коммит кода. Общее предупреждение о неуточнённой уязвимости само по себе не будет считаться соответствием требованиям. Уязвимость, публично раскрытая до создания рынка, не будет соответствовать требованиям лишь на том основании, что в течение периода рынка она получила идентификатор CVE или подходящую оценку. Уязвимость, соответствующая требованиям, должна затрагивать сам PHP (интерпретатор PHP и расширения, входящие в официальный исходный код php-src), иметь общедоступный идентификатор CVE и получить опубликованную базовую оценку CVSS не ниже 9.0 (по любой версии CVSS) от проекта PHP или Национальной базы данных уязвимостей США (NVD). Уязвимости, затрагивающие только неподдерживаемые версии PHP или необязательные включённые в поставку расширения, будут соответствовать требованиям, если выполняются остальные условия. Расширения, распространяемые отдельно от php-src (например, через PECL), не будут соответствовать требованиям. Достаточно подходящей оценки хотя бы от одного источника, независимо от более низкой оценки другого источника или оценки по другой версии CVSS. Учитывается только оценка, опубликованная самой NVD (с указанием NIST) или проектом PHP; оценки, отображаемые NVD, но приписанные любой другой организации, не будут соответствовать требованиям. После выполнения всех требований в течение периода рынка последующие изменения оценок не повлияют на расчёт. CVE-2026-109618 и CVE-2026-109619 («PHP2Shell») не будут соответствовать требованиям. Уязвимости в стороннем программном обеспечении, написанном на PHP или работающем на PHP (например, WordPress, Laravel, Drupal, плагины, а также другие фреймворки и библиотеки), не подходят. Основным источником для расчёта по этому рынку будет официальная информация проекта PHP (включая php.net и рекомендации по безопасности php-src на GitHub) и NVD (https://nvd.nist.gov); однако также может использоваться консенсус надёжных публикаций.
Машинный перевод. В спорных случаях действует оригинал.