В PHP закрыли две критические уязвимости: проверьте обновления

21 октября 2026 года разработчики PHP выпустили исправления двух критических уязвимостей: CVE-2026-109618 и CVE-2026-109619. Обе могут позволить злоумышленнику выполнить код на сервере без авторизации. Эти уязвимости известны под общим названием PHP2Shell.

Исправления доступны в PHP 8.2.35, 8.3.36, 8.4.27 и 8.5.12. Команда PHP рекомендует установить обновления немедленно. Проверить нужно и старые ветки, включая PHP 5.6: они также затронуты.

Чем опасны эти уязвимости

Проблема находится в самом PHP, который выполняет код сайта. Поэтому обновить WordPress, другой движок или плагины недостаточно. Обе уязвимости получили оценку 9,2 по шкале CVSS v4.0 и связаны с ошибками управления памятью.

• CVE-2026-109618: при обработке нехватки памяти запрос может прерваться до завершения подготовки внутренних данных PHP. Последующая очистка может некорректно обратиться к памяти.
• CVE-2026-109619: внутреннее состояние может сохраниться после освобождения памяти. Следующий запрос в том же рабочем процессе может использовать уже недействительные данные.

Проверить обновления нужно для PHP-FPM, Apache с mod_php, php-cgi, FrankenPHP и LiteSpeed. Разработчики считают конфигурацию с mod_php наиболее рискованной: для нее продемонстрирована атака одним запросом без авторизации, до выполнения кода приложения.

Исследователи Wiz продемонстрировали также чтение памяти процесса PHP без достижения удаленного выполнения кода. В памяти могут находиться пароли, токены и ключи API. Таким образом, риск не ограничивается изменением файлов сайта.

Nginx с PHP-FPM тоже требует обновления. Исследователи Calif опубликовали демонстрацию атаки на такую конфигурацию. Среди проверенных ими приложений есть WordPress, Drupal, Joomla, MediaWiki, Roundcube, Magento, phpMyAdmin, Nextcloud, Laravel, Symfony и WHMCS. Это результаты исследовательских демонстраций, а не список взломанных сервисов.

До какой версии обновить PHP

Если PHP установлен из пакетов Linux, поставщик может перенести исправление в прежнюю версию без изменения ее основного номера. Проверяйте полную версию пакета и бюллетень поставщика: одного обозначения «PHP 8.3» недостаточно. Рекомендации CERT-EU.

Что делать, если сайт работает на PHP 5.6, 7.x, 8.0 или 8.1

Старые ветки тоже затронуты. Их официальная поддержка проектом PHP завершена, но исправления могут предоставлять дистрибутивы, сторонние репозитории и поставщики расширенной поддержки.

• PHP из репозитория Sury, включая PHP 5.6. Ondřej Surý сообщил, что исправления обеих CVE должны получить все версии PHP в его репозитории для всех поддерживаемых им выпусков Debian и Ubuntu. Сначала будут доступны пакеты amd64, затем ARM по мере сборки; сроки не названы. Проверьте доступность исправленного пакета для своей ветки PHP, ОС и архитектуры. Это заявление относится к пакетам Sury, а не ко всем установкам PHP 5.6. Комментарий сопровождающего Sury PHP.
• Пакеты дистрибутива или поставщика расширенной поддержки. Найдите его бюллетень безопасности и установите рекомендованную сборку.
• PHP из исходного кода. Для PHP 7.4, 8.0 и 8.1 команда PHP опубликовала минимальные исправления. Для остальных старых веток наличие подходящего патча нужно уточнять отдельно.
• PHP через панель хостинга. Узнайте у провайдера, исправлена ли используемая сайтом версия PHP и требуется ли действие с вашей стороны.

Патч устраняет эти две уязвимости, но не возвращает старой ветке полноценную поддержку. Установите доступное исправление, а переход на поддерживаемую версию запланируйте отдельно.

Обновления PHP в Ubuntu, Debian и AlmaLinux

Статус проверен 21 октября 2026 года. Для официальных репозиториев Ubuntu и Debian подтверждены следующие исправленные версии пакетов:

Номера в таблице относятся к официальным пакетам соответствующего дистрибутива. Для Sury и других сторонних репозиториев проверяйте их собственные версии. Исправление может быть перенесено в старый PHP без изменения его основного номера. Ubuntu USN-8948-1.

Canonical выпустила исправления обеих CVE для указанных версий Ubuntu. В Debian для Trixie опубликован бюллетень DSA-6574-1, а для Bookworm исправленная версия уже отмечена в security tracker. Проверьте доступность пакета на своем зеркале и для нужной архитектуры. Debian Security Tracker.

AlmaLinux: по официальному сообщению пакеты готовятся для поддерживаемых потоков AlmaLinux 8, 9 и 10: сначала testing, затем production после проверки. Подтверждения выпуска в стабильные репозитории пока нет. Это статус собственных пакетов AlmaLinux, а не PHP из сторонних репозиториев. Сообщение AlmaLinux.

Первая волна охватывает PHP 7.4 и 8.2 в AlmaLinux 8; PHP 8.0, 8.2 и 8.3 в AlmaLinux 9; PHP 8.3 и 8.4 в AlmaLinux 10. Устаревшие потоки PHP 7.2, 7.3 и 8.0 в AlmaLinux 8 и PHP 8.1 в AlmaLinux 9 в первую волну не входят.

Обновления PHP в панелях управления и CloudLinux

Статус проверен 21 октября 2026 года. Выпуск исправлений продолжается: готовность пакета зависит от ветки PHP, ОС и репозитория.

cPanel. Представитель cPanel сообщил о выпуске исправлений для ea-php74, ea-php80, ea-php81, ea-php82, ea-php83, ea-php84 и ea-php85. Среди них есть устаревшие ветки 7.4, 8.0 и 8.1. Проверяйте обновления всех используемых ea-php, а не только версии панели. Сообщение cPanel.

Plesk. На официальном форуме сотрудник сообщил, что сборки с исправлениями для PHP 7.4, 8.0 и 8.1 завершены и проходят тестирование. Это еще не подтверждение доступности каждого пакета. Проверяйте статус нужной ветки и платформы отдельно; готовность Linux-сборки не подтверждает готовность Windows-сборки. Ответ сотрудника Plesk.

FASTPANEL. На момент проверки отдельного официального бюллетеня о PHP2Shell и списка исправленных сборок найти не удалось. Наличие версии PHP в панели не подтверждает наличие патча: проверьте установленный пакет и репозиторий либо запросите подтверждение поддержки.

DirectAdmin. PHP сайтов обычно собирается через CustomBuild. Поэтому обновления пакетов ОС может быть недостаточно. Проверьте доступные версии в CustomBuild → Updates или командой da build versions; файл custom_versions.txt может удерживать старую версию. На момент проверки полной подтвержденной разработчиком матрицы исправлений, особенно для старых веток, найти не удалось. Пользовательские инструкции на форуме с ручной заменой номеров версий не равнозначны официальному выпуску.

ispmanager. Системный PHP поставляется репозиторием ОС, альтернативные версии устанавливаются из репозитория ispmanager в /opt/. Проверяйте оба источника: обновление системного PHP не подтверждает исправление альтернативных обработчиков сайтов. На момент проверки отдельного официального бюллетеня по этим CVE и списка исправленных сборок найти не удалось. Это отсутствие подтверждения, а не доказательство отсутствия патчей.

CloudLinux. Заявлены патчи для alt-php 5.2–8.5; часть сборок, включая alt-php74, уже выпущена. Проверяйте свою ОС и ветку. Imunify360 ruleset 8.83 доступен в Stable при включенном WAF, но не заменяет обновление PHP. Статус выпуска CloudLinux.

На одном сервере могут одновременно работать PHP самой панели, системный PHP, ea-php и alt-php. Обновление одного набора пакетов не подтверждает исправление остальных. После установки обновлений перезапустите соответствующие процессы и проверьте, какой обработчик использует каждый сайт.

Почему проблема касается стольких сайтов

PHP работает на сервере: обрабатывает формы, проверяет авторизацию, получает данные из базы и формирует страницы. Владелец сайта может пользоваться только панелью управления и не знать, какая версия PHP установлена на хостинге.

На PHP работают WordPress, Drupal, Joomla и MediaWiki. Его используют и для собственных приложений, в том числе на Laravel. Поэтому проверка нужна и сайтам без готового движка. О различиях систем управления сайтом читайте в обзоре CMS.

Википедия использует MediaWiki, а NASA, NASA Science и WhiteHouse.gov используют WordPress. 21 октября Wikimedia Foundation сообщила, что временно отключила ряд вспомогательных сервисов, включая Toolforge и Cloud VPS, до безопасного обновления. При этом команда старалась избежать простоя самих вики. Это профилактическое ограничение, а не сообщение о взломе.

Движок сайта и PHP обновляются отдельно. Актуальный WordPress со свежими плагинами может работать на PHP без нужного исправления. В случае атаки до запуска приложения проверки внутри движка еще не успевают выполниться.

Как проверить, что сайт получил исправление

На хостинге начните с вопроса в поддержку: «Установлены ли для PHP моего сайта исправления CVE-2026-109618 и CVE-2026-109619?» Если сервер обслуживаете вы или ваш администратор:

1. Проверьте все версии PHP, которые обрабатывают веб-запросы. На одном сервере разные сайты могут использовать разные ветки.
2. Установите исправленные пакеты и перезапустите соответствующие процессы PHP.
3. Убедитесь, что сайт использует обновленную сборку. Версия PHP в командной строке может отличаться от версии сайта.
4. Проверьте страницы, авторизацию, формы и загрузку файлов.

Можно ли временно защититься настройками

Полностью устранить проблему позволяет только обновление. Временные настройки, описанные разработчиками, ограничивают отдельные способы атаки, но не закрывают обе уязвимости. Если быстро установить исправление невозможно, CERT-EU рекомендует рассмотреть временное ограничение публичного доступа к затронутым приложениям. Технические меры для администраторов приведены в бюллетене CERT-EU, ссылка на который дана выше.