21 октября 2026 года разработчики PHP выпустили экстренные обновления, устраняющие две критические уязвимости — CVE-2026-109618 и CVE-2026-109619. Обе получили оценку 9,2 из 10 по шкале CVSS v4.0. При определённых условиях злоумышленник может использовать их для удалённого выполнения кода на сервере без авторизации. (Официальное объявление PHP) PHP используется в огромном количестве интернет-проектов: на нём работают WordPress, интернет-магазины, блоги и многие другие сайты. Поэтому проблема затрагивает не какую-то одну CMS, а сам язык, на котором работает серверная часть сайтов...

Описание проблемы. Возьмем простую форму карточки товара, у которой имеются стандартные поля, и поле изображения (а может и не сколько таких полей) Заказчик видит форму и говорит: "Хочу чтобы при выборе картинок сразу появлялись preview и их можно было удалять/заменять". Надо так надо. Когда товар уже сохранен в БД проблем не возникает, вешаем событие на onchange поля выбора файлов и отправляем их на сервер (ajax), привязываем к текущему товару, генерируем preview и отдаем в ответ на ajax запрос...