21 октября 2026 года команда PHP выпустила обновления, устраняющие две критические уязвимости: CVE-2026-109618 и CVE-2026-109619. Они могут позволить удалённое выполнение кода без аутентификации. Мы обновили PHP публичного сайта Adal Cloud до версии 8.5.12 сразу после выхода исправлений.
В Adal Cloud PHP используется только для публичного сайта. Сайт работает как отдельное приложение в собственном контейнере. Кабинет пользователей построен на React, а сервисы приёма, обработки и доставки вебхуков написаны на Go.
Это разделение определяет, где в нашей системе используется PHP. Контейнеризация сама по себе не устраняет уязвимости среды выполнения — поэтому мы установили выпущенное обновление.
Технические подробности и список исправленных версий доступны в официальном сообщении команды PHP.