1. Что произошло
21 октября команда разработки PHP выпускает экстренное обновление безопасности. Оно закрывает две критические уязвимости в ядре PHP — CVE-2026-109618 и CVE-2026-109619, обе с оценкой 9.2 из 10 по шкале CVSS v4.0 («критический» уровень). Это уязвимости класса RCE: при успешной атаке злоумышленник может выполнить произвольный код на сервере.
Обновление выходит в 17:00 по Москве (14:00 UTC). Ситуация острая: вместе с анонсом в сеть попал инструмент для эксплуатации.
2. Чего касается
Уязвимость находится не в CMS или плагине, а в самом интерпретаторе PHP — значит, затрагивает любые сайты и приложения на PHP: WordPress, WooCommerce, Drupal, Bitrix, самописные проекты.
Официальные исправления выходят только для поддерживаемых веток — PHP 8.2, 8.3, 8.4 и 8.5. Патчи для неподдерживаемых версий, будут позже, при возможности их адаптировать.
3. Что делать
Проверить, какая версия PHP используется на сайте — это видно в разделе настроек PHP в панели управления.
Обновить PHP до исправленной версии своей ветки (8.2–8.5), как только она станет доступна. Мы оперативно подготовим обновлённые сборки и сообщим отдельно об их готовности.
Если сайт работает на PHP 8.1 или более старой версии — запланировать переход на поддерживаемую ветку (минимум 8.2, рекомендуем 8.4). Это миграция, а не простое обновление пакета, поэтому стоит заранее проверить совместимость CMS и плагинов на тестовой копии.
4. Как минимизировать риск до обновления
1. Отключить потенциально уязвимую функцию (неофициальная мера)
Утёкшая информация связывает уязвимость с механизмом отслеживания прогресса загрузки. Отключается через session.upload_progress.enabled = Off и последующим перезапуском PHP.
2. Включить WAF — поможет ограниченно:
WAF разбирает запросы иначе, чем PHP, поэтому часть атак пройдёт мимо. Это способ выиграть время до патча, а не закрыть дыру.
3. Убрать непропатчиваемое из открытого доступа
Приложения на EOL-версиях PHP, которые фикс не получат, лучше увести с публичного интернета — за VPN или WAF.
Альтернативные варианты защиты смотрите на сайте Oppenet.
Пожалуйста, как можно скорее примите меры для защиты ваших серверов. Если вам нужна помощь, наша техподдержка готова ответить.
