В PHP закрыли две критические уязвимости: проверьте обновления

21 октября 2026 года разработчики PHP выпустили исправления двух критических уязвимостей: CVE-2026-109618 и CVE-2026-109619. Обе могут позволить злоумышленнику выполнить код на сервере без авторизации. Эти уязвимости известны под общим названием PHP2Shell.

Исправления доступны в PHP 8.2.35, 8.3.36, 8.4.27 и 8.5.12. Команда PHP рекомендует установить обновления немедленно. Проверить нужно и старые ветки, включая PHP 5.6: они также затронуты.

Что сделать владельцу сайта

На хостинге начните с вопроса в поддержку: «Установлены ли для PHP моего сайта исправления CVE-2026-109618 и CVE-2026-109619?» Если сервер обслуживаете вы или ваш администратор:

1. Проверьте все версии PHP, которые обрабатывают веб-запросы. На одном сервере разные сайты могут использовать разные ветки.
2. Установите исправленные пакеты и перезапустите соответствующие процессы PHP.
3. Убедитесь, что сайт использует обновленную сборку. Версия PHP в командной строке может отличаться от версии сайта.
4. Проверьте страницы, авторизацию, формы и загрузку файлов.

Можно ли временно защититься настройками

Полностью устранить проблему позволяет только обновление. Временные настройки ограничивают отдельные способы атаки, но не закрывают обе уязвимости. Если быстро установить исправление невозможно, CERT-EU рекомендует рассмотреть временное ограничение публичного доступа к затронутым приложениям. Технические меры приведены в бюллетене CERT-EU 2026-018.

Чем опасны эти уязвимости

Проблема находится в самом PHP, который выполняет код сайта. Поэтому обновить WordPress, другой движок или плагины недостаточно. Обе уязвимости получили оценку 9,2 по шкале CVSS v4.0 и связаны с ошибками управления памятью.

• CVE-2026-109618: при обработке нехватки памяти запрос может прерваться до завершения подготовки внутренних данных PHP. Последующая очистка может некорректно обратиться к памяти.
• CVE-2026-109619: внутреннее состояние может сохраниться после освобождения памяти. Следующий запрос в том же рабочем процессе может использовать уже недействительные данные.

Проверить обновления нужно для PHP-FPM, Apache с mod_php, php-cgi, FrankenPHP и LiteSpeed. Разработчики считают конфигурацию с mod_php наиболее рискованной: для нее продемонстрирована атака одним запросом без авторизации, до выполнения кода приложения.

Исследователи Wiz продемонстрировали также чтение памяти процесса PHP без достижения удаленного выполнения кода. В памяти могут находиться пароли, токены и ключи API. Таким образом, риск не ограничивается изменением файлов сайта.

Nginx с PHP-FPM тоже требует обновления. Исследователи Calif опубликовали демонстрацию атаки на такую конфигурацию. Среди проверенных ими приложений есть WordPress, Drupal, Joomla, MediaWiki, Roundcube, Magento, phpMyAdmin, Nextcloud, Laravel, Symfony и WHMCS. Это результаты исследовательских демонстраций, а не список взломанных сервисов.

Почему проблема касается стольких сайтов

PHP работает на сервере: обрабатывает формы, проверяет авторизацию, получает данные из базы и формирует страницы. Владелец сайта может пользоваться только панелью управления и не знать, какая версия PHP установлена на хостинге.

На PHP работают WordPress, Drupal, Joomla и MediaWiki. Его используют и для собственных приложений, в том числе на Laravel. Поэтому проверка нужна и сайтам без готового движка. О различиях систем управления сайтом читайте в обзоре CMS.

Википедия использует MediaWiki, а NASA, NASA Science и WhiteHouse.gov используют WordPress. 21 октября Wikimedia Foundation сообщила, что временно отключила ряд вспомогательных сервисов, включая Toolforge и Cloud VPS, до безопасного обновления. При этом команда старалась избежать простоя самих вики. Это профилактическое ограничение, а не сообщение о взломе.

Есть ли сообщения о попытках эксплуатации

AWS сообщила о попытке эксплуатации PHP2Shell в своей системе приманок MadPot еще 17 октября, до публичного раскрытия. Это наблюдение атаки на приманку, а не подтверждение успешного взлома всех затронутых систем. После установки патча стоит проверить журналы и неожиданные изменения файлов или запуск процессов; AWS рекомендует начинать проверку событий как минимум с 17 октября. Исследование AWS.

До какой версии обновить PHP

Если PHP установлен из пакетов Linux, поставщик может перенести исправление в прежнюю версию без изменения ее основного номера. Проверяйте полную версию пакета и бюллетень поставщика: одного обозначения «PHP 8.3» недостаточно.

Что делать, если сайт работает на PHP 5.6, 7.x, 8.0 или 8.1

Старые ветки тоже затронуты. Их официальная поддержка проектом PHP завершена, но исправления могут предоставлять дистрибутивы, сторонние репозитории и поставщики расширенной поддержки.

• PHP из репозитория Sury, включая PHP 5.6. Ondřej Surý сообщил, что исправления обеих CVE должны получить все версии PHP в его репозитории для всех поддерживаемых им выпусков Debian и Ubuntu. Сначала будут доступны пакеты amd64, затем ARM по мере сборки; сроки не названы. Проверьте доступность исправленного пакета для своей ветки PHP, ОС и архитектуры. Это заявление относится к пакетам Sury, а не ко всем установкам PHP 5.6. Комментарий сопровождающего Sury PHP.
• Пакеты дистрибутива или поставщика расширенной поддержки. Найдите его бюллетень безопасности и установите рекомендованную сборку.
• PHP из исходного кода. Для PHP 7.4, 8.0 и 8.1 команда PHP опубликовала минимальные исправления. Для остальных старых веток наличие подходящего патча нужно уточнять отдельно.
• PHP через панель хостинга. Узнайте у провайдера, исправлена ли используемая сайтом версия PHP и требуется ли действие с вашей стороны.

Патч устраняет эти две уязвимости, но не возвращает старой ветке полноценную поддержку. Установите доступное исправление, а переход на поддерживаемую версию запланируйте отдельно.

Обновления PHP в Linux, FreeBSD и Windows

Данные обновлены 22 октября 2026 года. Доступность исправления зависит от репозитория, потока PHP и архитектуры. Для официальных пакетов Ubuntu и Debian подтверждены следующие версии:

Ubuntu и Debian: исправленные пакеты

Номера в таблице относятся к официальным пакетам указанных дистрибутивов. Для Sury и других сторонних репозиториев проверяйте их собственные версии. Ubuntu USN-8948-1.

Canonical выпустила исправления обеих CVE для указанных версий Ubuntu. В Debian для Trixie опубликован бюллетень DSA-6574-1, а для Bookworm исправленная версия уже отмечена в security tracker. Проверьте доступность пакета на своем зеркале и для нужной архитектуры. Debian Security Tracker.

AlmaLinux: исправления в production

AlmaLinux 8, 9 и 10: исправления всех поставляемых потоков PHP вышли в production. Обновлены также ранее исключенные потоки PHP 7.2, 7.3 и 8.0 в AlmaLinux 8 и PHP 8.1 в AlmaLinux 9. Это разовое исправление не обещает дальнейшей поддержки устаревших потоков. Версии исправленных пакетов AlmaLinux.

Проверьте полный номер пакета по таблице AlmaLinux, например командой rpm -q php-common. Исправления перенесены в прежние версии PHP, поэтому одного вывода php -v недостаточно. Если ранее был включен almalinux-testing, для этих исправлений он больше не нужен.

Arch, RHEL, SUSE, FreeBSD и Windows

Проверено по официальному сообщению Arch Linux от 21 октября, дереву FreeBSD Ports и VuXML, бюллетеню Red Hat, базе SUSE и каталогу downloads.php.net/~windows/releases. Подробности: FreeBSD Ports, RHSA-2026:87080, статусы SUSE.

Обновления PHP в панелях управления и CloudLinux

Статус проверен 22 октября 2026 года. Различайте PHP сайтов, PHP самой панели и пакеты CloudLinux: для них действуют разные обновления.

cPanel

Официальный бюллетень подтверждает исправления EasyApache4: ea-php74 7.4.33-19, ea-php80 8.0.30-12, ea-php81 8.1.34-5 и исправленные версии 8.2–8.5 из таблицы выше. Для самой панели указаны cPanel & WHM 110.0.153, 134.0.66, 136.0.50 и 138.0.18. Это отдельное обновление от PHP сайтов. Бюллетень cPanel.

DirectAdmin

Разработчик fln подтвердил выпуск в каналах current и stable: PHP 8.2–8.5 обновлены, для PHP 7.4, 8.0 и 8.1 добавлены патчи. На официальном форуме указаны команды da update и da build php. Обновление панели само по себе не запускает пересборку PHP, если автоматизация CustomBuild не настроена. Проверьте также закрепленные версии в custom_versions.txt.

Plesk

В опубликованной оценке NCSC-NL подтверждены исправленные Linux-сборки PHP 8.2–8.5. Старые ветки, Windows-сборки и внутренний sw-engine нужно проверять отдельно: готовность PHP для сайтов не означает обновление самой панели. Общего подтверждения готовности всех этих компонентов на момент проверки нет.

CloudLinux

По статусу от 22 октября исправленные alt-php для CloudLinux 7/8/9 уже в stable; для CloudLinux 10 версии доступны через предусмотренные для него репозитории. Исправленные ea-php52–85 тоже выпущены. Часть системных PHP-пакетов еще распространяется постепенно: не путайте их с alt-php и ea-php. Актуальный статус CloudLinux.

Imunify360 автоматически доставляет правила WAF 8.83–8.85, но они не заменяют патчи PHP. CloudLinux отдельно предупреждает, что security-only обновления могут не видеть исправленные пакеты до публикации метаданных безопасности; проверяйте обычные обновления и changelog пакетов.

FASTPANEL

На момент проверки отдельного официального бюллетеня о PHP2Shell и списка исправленных сборок найти не удалось. Наличие версии PHP в панели не подтверждает наличие патча: проверьте установленный пакет и репозиторий либо запросите подтверждение поддержки.

ispmanager

Системный PHP поставляется репозиторием ОС, альтернативные версии устанавливаются из репозитория ispmanager в /opt/. Проверяйте оба источника: обновление системного PHP не подтверждает исправление альтернативных обработчиков сайтов. На момент проверки отдельного официального бюллетеня по этим CVE и списка исправленных сборок найти не удалось. Это отсутствие подтверждения, а не доказательство отсутствия патчей.