Ни один компонент продукта Инкоманд не содержит PHP-кода: интерпретатор PHP не участвует ни в сборке, ни в запуске портала. Поэтому портал Инкоманд не подвержен уязвимостям CVE-2026-109618 и CVE-2026-109619, и выпуск новой версии продукта не требуется. 

21 октября 2026 года проект PHP выпустил исправления для двух критических уязвимостей в интерпретаторе языка PHP — CVE-2026-109618 и CVE-2026-109619, получивших общее название PHP2Shell; обе оцениваются в 9.2 балла по CVSS 4.0. Обе уязвимости эксплуатируют обработку фатальных ошибок интерпритатором: в CVE-2026-109618 ошибка нехватки памяти, обрабатываемая через longjmp(), оставляет память запроса неинициализированной; в CVE-2026-109619 обработка фатальной ошибки оставляет глобальные указатели на освобождённые области памяти, которые задействуются при последующих запросах к тому же рабочему процессу. Исправления входят в версии PHP 8.5.12, 8.4.27, 8.3.36 и 8.2.35. Поскольку уязвимости находятся в самом интерпретаторе языка PHP, они затрагивают любое PHP-приложение независимо от используемого фреймворка.

Инкоманд работает на виртуальной машине Java. Серверная часть написана на Java, клиентская — на JavaScript, который выполняется в браузере, а сборка выполняется инструментами Maven и Gradle. При сборке и запуске портала интерпретатор PHP не используется, и Инкоманд его не устанавливает.

Исходные репозитории, из которых состоит продукт, не содержат ни PHP-файлов, ни composer.json, ни composer.lock, ни упоминаний PHP в каких-либо файлах сборки, манифестах зависимостей и процессах непрерывной интеграции.

Область применения этого заявления

В данном сообщении рассказывается о продукте Инкоманд, публикуемых нами артефактах и цепочке сборки, которую используют эти продукты. За сторонние компоненты, развёрнутые в контуре заказчика (например средство веб-аналитики Matomo), отвечают команды, которые их обслуживают.

Рекомендации для клиентов

Для портала Инкоманд никаких действий не требуется: в публикуемых артефактах продукта PHP не используется, поэтому CVE-2026-109618 и CVE-2026-109619 к нему не применимы.

Если ваше приложение или инфраструктура используют PHP по другим причинам, следуйте рекомендациям проекта PHP и обновите его до версии 8.5.12, 8.4.27, 8.3.36 или 8.2.35.