21 октября 2026
21 октября 2026 года разработчики PHP выпустили экстренные обновления безопасности, устраняющие сразу две критические уязвимости. Каждая получила оценку 9,2 из 10 по шкале CVSS 4.0. Проблемы потенциально позволяют злоумышленникам выполнять произвольный код на сервере без авторизации.
Это одна из тех новостей, на которые стоит обратить внимание не только системным администраторам и разработчикам, но и владельцам бизнеса. Если ваш корпоративный сайт, интернет-магазин или веб-сервис работает на PHP, необходимо проверить его защищённость и установить соответствующие обновления.
Команда интернет-агентства «Крупное Дело» уделяет этой ситуации особое внимание. Мы делаем всё возможное для обеспечения безопасности проектов наших клиентов и готовы помочь другим компаниям оперативно проверить сайты, оценить риски и организовать необходимые обновления.
Что произошло?
20 октября команда безопасности PHP опубликовала необычное предупреждение: на следующий день запланирован экстренный выпуск исправлений для двух критических уязвимостей.
Разработчики заранее сообщили об уровне опасности и рекомендовали владельцам PHP-проектов подготовиться к обновлению.
21 октября исправления были опубликованы вместе с техническими подробностями. Речь идёт об уязвимостях:
- CVE-2026-109618 — ошибка обработки ситуации нехватки памяти, способная привести к повреждению внутренних структур данных PHP.
- CVE-2026-109619 — ошибка управления внутренним состоянием PHP, при которой информация предыдущего запроса может использоваться после освобождения соответствующей памяти.
Обе уязвимости относятся к категории Remote Code Execution (RCE) — удалённое выполнение кода.
Это означает, что при наличии подходящих условий злоумышленник потенциально может выполнить свои команды на сервере, даже не располагая логином и паролем администратора.
Особенно важно, что проблема затрагивает не отдельный плагин или конкретную CMS, а сам PHP — технологию, на которой работает множество сайтов по всему миру.
Чем опасны эти уязвимости?
Обычная уязвимость сайта зачастую требует от атакующего определённых условий: доступа к административной панели, конкретной версии плагина или ошибки в программном коде.
В данном случае ситуация серьёзнее. Уязвимые механизмы находятся внутри PHP и могут задействоваться при обработке веб-запросов.
В официальном предупреждении разработчики отдельно выделили конфигурации Apache с mod_php: для них продемонстрирован сценарий атаки, срабатывающей ещё до выполнения прикладного кода сайта.
В зависимости от конфигурации сервера и прав процесса PHP успешная эксплуатация может привести к следующим последствиям:
- несанкционированному выполнению команд на сервере;
- доступу к конфиденциальной информации и файлам сайта;
- компрометации данных интернет-магазина или корпоративного портала;
- изменению или уничтожению информации;
- нарушению работы сайта и связанных с ним сервисов;
- использованию взломанного сервера для дальнейших атак.
При этом наличие уязвимой версии PHP ещё не означает, что конкретный сайт уже взломан. Для оценки реального риска необходимо проверить версию PHP, настройки веб-сервера и доступность потенциально опасных механизмов.
Какие сайты находятся в зоне риска?
Внимание необходимо уделить всем публично доступным сайтам и приложениям, использующим PHP.
В первую очередь это:
- корпоративные сайты и порталы на 1С-Битрикс;
- интернет-магазины на PHP;
- сайты на WordPress, Joomla и Drupal;
- корпоративные веб-сервисы и личные кабинеты;
- самописные системы и внутренние приложения, доступные из интернета;
- устаревшие сайты, которые давно не обновлялись.
Важно понимать: использование популярной CMS само по себе не означает наличие уязвимости именно в её коде. Однако сайт может оказаться под угрозой из-за версии PHP, установленной на сервере.
Особого внимания требуют проекты, работающие на устаревших версиях PHP, поскольку их обновление может потребовать дополнительной подготовки и проверки совместимости.
Какие версии PHP необходимо установить?
Разработчики опубликовали следующие исправленные версии:
| Ветка PHP | Версия с исправлениями |
|---|---|
| PHP 8.5 | 8.5.12 |
| PHP 8.4 | 8.4.27 |
| PHP 8.3 | 8.3.36 |
| PHP 8.2 | 8.2.35 |
PHP 8.1 и более старые версии больше не получают стандартные обновления безопасности от основного проекта PHP.
Для некоторых устаревших веток доступны специальные исправления от разработчиков, дистрибутивов Linux или поставщиков расширенной поддержки. Однако их наличие и применимость необходимо проверять отдельно.
Главная рекомендация — перейти на исправленную версию PHP или получить подтверждённое обновление безопасности от поставщика серверной платформы.
При этом обновление необходимо выполнять аккуратно. Простое переключение версии PHP в панели хостинга без проверки совместимости может привести к ошибкам в работе сайта.
Что делать владельцам сайтов прямо сейчас?
Мы рекомендуем не откладывать проверку, особенно если сайт обрабатывает заказы, персональные данные или обеспечивает работу важных бизнес-процессов.
1. Проверить установленную версию PHP.
Необходимо выяснить, какая версия фактически используется сайтом при обработке веб-запросов. Версия PHP в командной строке и версия веб-сервера могут различаться.
2. Проверить наличие обновлений безопасности.
Если сервер использует уязвимую сборку, необходимо установить исправление из официального источника или репозитория поставщика операционной системы.
3. Создать резервную копию.
Перед внесением изменений следует сохранить файлы сайта, базу данных и важные настройки. Желательно убедиться, что резервная копия пригодна для восстановления.
4. Проверить совместимость сайта с обновлённым PHP.
Это особенно важно для проектов на 1С-Битрикс, самописных решений и сайтов с большим количеством дополнительных модулей.
5. Установить исправления и проверить работу проекта.
После обновления нужно проверить основные страницы, формы, авторизацию, личные кабинеты, оформление заказов, оплату, обмены с внешними системами и фоновые задачи.
6. Проверить журналы событий и подозрительную активность.
Обновление закрывает уязвимость, но не устраняет последствия возможной компрометации, если атака уже произошла. При подозрении на взлом требуется отдельная проверка безопасности.
Можно ли защититься без обновления PHP?
Разработчики PHP опубликовали ряд временных мер, направленных на уменьшение вероятности эксплуатации отдельных сценариев.
Они связаны с ограничением параметров запросов, настройками обработки памяти и отключением некоторых механизмов PHP.
Однако разработчики отдельно подчёркивают: полноценной альтернативы установке исправлений нет.
Некоторые временные меры могут повлиять на работу сайта и потребление ресурсов сервера, поэтому применять их без технической оценки не рекомендуется.
Если немедленное обновление невозможно, специалистам необходимо оценить конфигурацию сервера и принять временные меры по ограничению доступа. В особо рискованных ситуациях может потребоваться временно вывести уязвимый сервис из публичного доступа до установки исправлений.
Причём здесь искусственный интеллект?
Отдельное внимание в истории привлёк вопрос использования искусственного интеллекта для поиска уязвимостей.
По сообщениям технологических и международных СМИ, инструменты на основе AI участвовали в исследовании проблем безопасности PHP.
Это важный сигнал для всей отрасли. Искусственный интеллект помогает специалистам по безопасности находить ошибки, которые могли оставаться незамеченными годами. Однако аналогичные технологии могут ускорять анализ уязвимого кода и поиск способов атак.
Поэтому привычный подход, когда обновления серверного ПО откладываются на неопределённый срок, становится всё более рискованным.
Что делает интернет-агентство «Крупное Дело»?
Для нас безопасность клиентских проектов — не менее важная задача, чем их разработка, развитие и техническая поддержка.
В связи с обнаруженными критическими уязвимостями PHP команда интернет-агентства «Крупное Дело» делает всё возможное, чтобы помочь своим клиентам защитить сайты и минимизировать потенциальные риски.
Наш приоритет — своевременно выявлять опасные конфигурации, оценивать необходимость обновлений и организовывать работы так, чтобы защита сайта не обернулась длительным простоем бизнеса.
В рамках технического сопровождения мы уделяем особое внимание:
- проверке версий PHP и серверного окружения;
- оценке актуальности обновлений безопасности;
- совместимости сайтов и модулей с исправленными версиями PHP;
- резервному копированию перед техническими работами;
- установке обновлений и последующему тестированию;
- анализу ошибок и возможных признаков компрометации.
Особое внимание уделяем проектам на 1С-Битрикс, интернет-магазинам и корпоративным сайтам, где любые технические сбои могут непосредственно влиять на продажи и работу компании.
Поможем и тем, кто ещё не является нашим клиентом
Если ваш сайт обслуживается другой компанией, работает на собственном сервере или давно не проходил техническую проверку, вы также можете обратиться в интернет-агентство «Крупное Дело».
Мы готовы помочь:
- определить, затрагивает ли проблема ваш сайт;
- провести первичную техническую диагностику;
- оценить риски и совместимость обновлений;
- подготовить безопасный план перехода на исправленную версию PHP;
- выполнить необходимые работы по согласованию;
- организовать дальнейшее техническое сопровождение сайта.
Не рекомендуем самостоятельно менять критические настройки работающего сервера без соответствующего опыта. Ошибки при обновлении способны вызвать простой сайта и нарушение работы бизнес-процессов.
Вывод
Обнаружение сразу двух критических уязвимостей в PHP — серьёзное напоминание о том, что безопасность сайта зависит не только от CMS, паролей и установленных модулей.
Даже качественно разработанный сайт может оказаться уязвимым, если серверное окружение своевременно не обновляется.
Если ваш сайт работает на PHP, рекомендуем проверить его уже сейчас.
Команда интернет-агентства «Крупное Дело» готова помочь с диагностикой, обновлением и технической защитой вашего проекта.
Не ждите, пока проблема безопасности превратится в реальную остановку бизнеса. Обратитесь к специалистам «Крупного Дела» для проверки вашего сайта.
Нужна проверка безопасности вашего сайта?
Специалисты интернет-агентства «Крупное Дело» помогут оценить риски, проверить версию PHP, подготовить обновление и протестировать работу сайта после установки исправлений. Работаем как с действующими, так и с новыми клиентами.
При обращении укажите адрес сайта и тему «Проверка безопасности PHP».
Источники: