РелизВерсия 2024.06.66Важное
Mailu 2024.06.66 снижает риск атак PHP2Shell в webmail
22 октября 2026 года вышел Mailu 2024.06.66. Релиз добавляет в webmail меры против известных сценариев эксплуатации CVE-2026-109618 и CVE-2026-109619, но не заменяет исправление PHP runtime.
Mailu выпустила версию 2024.06.66 для ветки 2024.06. Обновление уменьшает доступность известных путей атак PHP2Shell в компоненте webmail, связанных с CVE-2026-109618 и CVE-2026-109619. В release notes отдельно указано, что это временное снижение риска до появления исправленного PHP runtime, а не замена патча PHP.
Изменение относится к webmail: проект добавил меры против известных сценариев эксплуатации двух уязвимостей PHP. Релиз появился после обсуждения в issue #4143, где сопровождающий Mailu пояснил, что PHP-компоненты не открыты неаутентифицированным пользователям напрямую. Поэтому риск для типичной установки Mailu отличается от общего сценария PHP, хотя возможность повышения привилегий разработчики не исключают.
PHP классифицирует обе уязвимости как критические. CVE-2026-109618 связана с повреждением состояния при нехватке памяти, а CVE-2026-109619 — с повторным использованием освобождённого внутреннего состояния между запросами. По данным официального advisory, они могут привести к удалённому выполнению кода без аутентификации; исправления вошли в PHP 8.2.35, 8.3.36, 8.4.27 и 8.5.12.
Mailu 2024.06.66 опубликована 22 октября 2026 года и нацелена на снижение риска в webmail до обновления базового PHP. Сам проект не заявляет, что уязвимости устранены в runtime этой версии. Для ветки 2024.06 основной тег продолжает указывать на свежую сборку, а тег 2024.06.66 закреплён за конкретным состоянием релиза.