- Ще одна критична вразливість безпеки PHP у 2026 році?26¢26%
The recent coordinated disclosure and patching of two critical PHP vulnerabilities (CVE-2026-109618 and CVE-2026-109619) on October 21 has strongly shaped trader sentiment. These CVSS 9.2 flaws enable unauthenticated remote code execution across nearly all PHP versions serving web requests, including via out-of-memory handling and stale state issues in the core runtime. Patches for supported branches (8.2.35, 8.3.36, 8.4.27, and 8.5.12) were released immediately, with demonstrated exploits and expected mass attacks prompting urgent updates from the PHP Foundation and major cloud providers. This swift remediation, combined with the absence of further confirmed critical issues in supported releases, underpins the 73.5% market-implied probability against another such flaw emerging before year-end, reflecting trader focus on these as the primary 2026 event.
Правила
Цей ринок буде розраховано на «Так», якщо критичну вразливість у PHP вперше публічно розкриють у період від створення ринку до 31 грудня 2026 р., 23:59 ET, і до цього граничного строку вона відповідатиме всім наведеним нижче вимогам. Інакше цей ринок буде розраховано як «Ні». Публічне розкриття означає оприлюднення інформації, достатньої для ідентифікації конкретної вразливості, через офіційне попередження, публікацію дослідника, витік або публічний коміт коду. Загальне попередження про невизначену вразливість саме по собі не відповідає критеріям. Вразливість, оприлюднена до створення ринку, не відповідатиме критеріям лише через те, що протягом періоду ринку вона отримала ідентифікатор CVE або кваліфікаційну оцінку. Кваліфікаційна вразливість має впливати на сам PHP (інтерпретатор PHP та розширення, включені до офіційного вихідного коду php-src), мати загальнодоступний ідентифікатор CVE та отримати публічно оприлюднену базову оцінку CVSS не нижче ніж 9.0 (за будь-якою версією CVSS) від проєкту PHP або Національної бази даних вразливостей США (NVD). Вразливості, що впливають лише на непідтримувані версії PHP або необов’язкові вбудовані розширення, відповідатимуть критеріям, якщо вони також відповідають решті вимог. Розширення, що розповсюджуються окремо від php-src (наприклад, через PECL), не відповідатимуть критеріям. Кваліфікаційної оцінки з будь-якого з цих джерел достатньо, незалежно від нижчої оцінки з іншого джерела або за іншою версією CVSS. Враховується лише оцінка, оприлюднена самою NVD (із зазначенням NIST як джерела) або проєктом PHP; оцінки, які показує NVD, але приписує будь-якій іншій організації, не відповідають критеріям. Після виконання всіх вимог протягом періоду ринку подальші зміни оцінки не впливатимуть на розрахунок. CVE-2026-109618 і CVE-2026-109619 («PHP2Shell») не відповідатимуть критеріям. Вразливості у сторонньому програмному забезпеченні, написаному на PHP або такому, що працює на PHP (наприклад, WordPress, Laravel, Drupal, плагінах чи інших фреймворках і бібліотеках), не відповідають критеріям. Основним джерелом для розрахунку цього ринку буде офіційна інформація від проєкту PHP (зокрема php.net і сповіщення безпеки GitHub для php-src) та NVD (https://nvd.nist.gov); однак також можна використовувати узгоджені дані надійних джерел.
Машинний переклад. У спірних випадках діє оригінал.