У PHP усунули дві критичні вразливості: перевірте оновлення

21 жовтня 2026 року розробники PHP випустили виправлення двох критичних вразливостей: CVE-2026-109618 і CVE-2026-109619. Обидві можуть дозволити зловмиснику виконати код на сервері без авторизації. Ці вразливості відомі під спільною назвою PHP2Shell.

Виправлення доступні в PHP 8.2.35, 8.3.36, 8.4.27 і 8.5.12. Команда PHP рекомендує встановити оновлення негайно. Перевірити потрібно й старі гілки, зокрема PHP 5.6: вони також уразливі.

Що зробити власнику сайту

На хостингу почніть із запитання до підтримки: «Чи встановлені для PHP мого сайту виправлення CVE-2026-109618 і CVE-2026-109619?» Якщо сервер обслуговуєте ви або ваш адміністратор:

1. Перевірте всі версії PHP, які обробляють вебзапити. На одному сервері різні сайти можуть використовувати різні гілки.
2. Встановіть виправлені пакети та перезапустіть відповідні процеси PHP.
3. Переконайтеся, що сайт використовує оновлену збірку. Версія PHP у командному рядку може відрізнятися від версії сайту.
4. Перевірте сторінки, авторизацію, форми та завантаження файлів.

Чи можна тимчасово захиститися налаштуваннями

Повністю усунути проблему дозволяє лише оновлення. Тимчасові налаштування обмежують окремі способи атаки, але не усувають обидві вразливості. Якщо швидко встановити виправлення неможливо, CERT-EU рекомендує розглянути тимчасове обмеження публічного доступу до вразливих застосунків. Технічні заходи наведено в бюлетені CERT-EU 2026-018.

Чим небезпечні ці вразливості

Проблема в самому PHP, який виконує код сайту. Тому оновити WordPress, інший рушій або плагіни недостатньо. Обидві вразливості отримали оцінку 9,2 за шкалою CVSS v4.0 і пов’язані з помилками керування пам’яттю.

• CVE-2026-109618: під час обробки нестачі пам’яті запит може перерватися до завершення підготовки внутрішніх даних PHP. Подальше очищення може некоректно звернутися до пам’яті.
• CVE-2026-109619: внутрішній стан може зберегтися після звільнення пам’яті. Наступний запит у тому самому робочому процесі може використати вже недійсні дані.

Перевірити оновлення потрібно для PHP-FPM, Apache з mod_php, php-cgi, FrankenPHP і LiteSpeed. Розробники вважають конфігурацію з mod_php найризикованішою: для неї продемонстровано атаку одним запитом без авторизації, до виконання коду застосунку.

Дослідники Wiz продемонстрували також читання пам’яті процесу PHP без досягнення віддаленого виконання коду. У пам’яті можуть бути паролі, токени та ключі API. Отже, ризик не обмежується зміною файлів сайту.

Nginx із PHP-FPM також потребує оновлення. Дослідники Calif опублікували демонстрацію атаки на таку конфігурацію. Серед перевірених ними застосунків є WordPress, Drupal, Joomla, MediaWiki, Roundcube, Magento, phpMyAdmin, Nextcloud, Laravel, Symfony і WHMCS. Це результати дослідницьких демонстрацій, а не список зламаних сервісів.

Чому проблема стосується стількох сайтів

PHP працює на сервері: обробляє форми, перевіряє авторизацію, отримує дані з бази та формує сторінки. Власник сайту може користуватися лише панеллю керування й не знати, яка версія PHP встановлена на хостингу.

На PHP працюють WordPress, Drupal, Joomla та MediaWiki. Його використовують і для власних застосунків, зокрема на Laravel. Тому перевірка потрібна й сайтам без готового рушія. Про відмінності систем керування сайтом читайте в огляді CMS.

Вікіпедія використовує MediaWiki, а NASA, NASA Science та WhiteHouse.gov використовують WordPress. 21 жовтня Wikimedia Foundation повідомила, що тимчасово вимкнула низку допоміжних сервісів, зокрема Toolforge та Cloud VPS, до безпечного оновлення. Водночас команда намагалася уникнути простою самих вікі. Це запобіжне обмеження, а не повідомлення про злам.

Чи є повідомлення про спроби експлуатації

AWS повідомила про спробу експлуатації PHP2Shell у своїй системі пасток MadPot ще 17 жовтня, до публічного розкриття. Це спостереження атаки на пастку, а не підтвердження успішного зламу всіх уразливих систем. Після встановлення патча варто перевірити журнали й неочікувані зміни файлів або запуск процесів; AWS рекомендує починати перевірку подій щонайменше з 17 жовтня. Дослідження AWS.

До якої версії оновити PHP

Якщо PHP встановлено з пакетів Linux, постачальник може перенести виправлення до попередньої версії без зміни її основного номера. Перевіряйте повну версію пакета й бюлетень постачальника: самого позначення «PHP 8.3» недостатньо.

Що робити, якщо сайт працює на PHP 5.6, 7.x, 8.0 або 8.1

Старі гілки також уразливі. Їхня офіційна підтримка проєктом PHP завершена, але виправлення можуть надавати дистрибутиви, сторонні репозиторії та постачальники розширеної підтримки.

• PHP із репозиторію Sury, зокрема PHP 5.6. Ondřej Surý повідомив, що виправлення обох CVE мають отримати всі версії PHP у його репозиторії для всіх підтримуваних ним випусків Debian та Ubuntu. Спочатку будуть доступні пакети amd64, потім ARM у міру збирання; строків не названо. Перевірте наявність виправленого пакета для своєї гілки PHP, ОС та архітектури. Це повідомлення стосується пакетів Sury, а не всіх установок PHP 5.6. Коментар супроводжувача Sury PHP.
• Пакети дистрибутива або постачальника розширеної підтримки. Знайдіть його бюлетень безпеки та встановіть рекомендовану збірку.
• PHP із вихідного коду. Для PHP 7.4, 8.0 і 8.1 команда PHP опублікувала мінімальні виправлення. Для інших старих гілок наявність відповідного патча потрібно уточнювати окремо.
• PHP через панель хостингу. Запитайте провайдера, чи виправлена версія PHP, яку використовує сайт, і чи потрібні дії з вашого боку.

Патч усуває ці дві вразливості, але не повертає старій гілці повноцінну підтримку. Встановіть доступне виправлення, а перехід на підтримувану версію заплануйте окремо.

Оновлення PHP у Linux, FreeBSD та Windows

Дані оновлено 22 жовтня 2026 року. Доступність виправлення залежить від репозиторію, потоку PHP та архітектури. Для офіційних пакетів Ubuntu й Debian підтверджено такі версії:

Ubuntu та Debian: виправлені пакети

Номери в таблиці стосуються офіційних пакетів зазначених дистрибутивів. Для Sury та інших сторонніх репозиторіїв перевіряйте їхні власні версії. Ubuntu USN-8948-1.

Canonical випустила виправлення обох CVE для зазначених версій Ubuntu. У Debian для Trixie опубліковано бюлетень DSA-6574-1, а для Bookworm виправлену версію вже позначено в security tracker. Перевірте доступність пакета на своєму дзеркалі та для потрібної архітектури. Debian Security Tracker.

AlmaLinux: виправлення у production

AlmaLinux 8, 9 і 10: виправлення всіх наявних потоків PHP вийшли до production. Оновлено також раніше виключені потоки PHP 7.2, 7.3 і 8.0 в AlmaLinux 8 та PHP 8.1 в AlmaLinux 9. Це виняткове виправлення не обіцяє подальшої підтримки застарілих потоків. Версії виправлених пакетів AlmaLinux.

Перевірте повний номер пакета за таблицею AlmaLinux, наприклад командою rpm -q php-common. Виправлення перенесено до попередніх версій PHP, тому самого виводу php -v недостатньо. Якщо раніше було ввімкнено almalinux-testing, для цих виправлень він більше не потрібен.

Arch, RHEL, SUSE, FreeBSD та Windows

Перевірено за офіційним повідомленням Arch Linux від 21 жовтня, деревом FreeBSD Ports і VuXML, бюлетенем Red Hat, базою SUSE та каталогом downloads.php.net/~windows/releases. Подробиці: FreeBSD Ports, RHSA-2026:87080, статуси SUSE.

Оновлення PHP у панелях керування та CloudLinux

Статус перевірено 22 жовтня 2026 року. Розрізняйте PHP сайтів, PHP самої панелі та пакети CloudLinux: для них діють різні оновлення.

cPanel

Офіційний бюлетень підтверджує виправлення EasyApache4: ea-php74 7.4.33-19, ea-php80 8.0.30-12, ea-php81 8.1.34-5 і виправлені версії 8.2–8.5 з таблиці вище. Для самої панелі зазначено cPanel & WHM 110.0.153, 134.0.66, 136.0.50 і 138.0.18. Це окреме оновлення від PHP сайтів. Бюлетень cPanel.

DirectAdmin

Розробник fln підтвердив випуск у каналах current і stable: PHP 8.2–8.5 оновлено, для PHP 7.4, 8.0 і 8.1 додано патчі. На офіційному форумі наведено команди da update і da build php. Оновлення панелі саме по собі не запускає перезбирання PHP, якщо автоматизацію CustomBuild не налаштовано. Перевірте також закріплені версії в custom_versions.txt.

Plesk

В опублікованій оцінці NCSC-NL підтверджено виправлені Linux-збірки PHP 8.2–8.5. Старі гілки, Windows-збірки та внутрішній sw-engine потрібно перевіряти окремо: готовність PHP для сайтів не означає оновлення самої панелі. Загального підтвердження готовності всіх цих компонентів на момент перевірки немає.

CloudLinux

За статусом від 22 жовтня виправлені alt-php для CloudLinux 7/8/9 вже у stable; для CloudLinux 10 версії доступні через передбачені для нього репозиторії. Виправлені ea-php52–85 теж випущено. Частина системних PHP-пакетів ще поширюється поступово: не плутайте їх з alt-php та ea-php. Актуальний статус CloudLinux.

Imunify360 автоматично доставляє правила WAF 8.83–8.85, але вони не замінюють патчі PHP. CloudLinux окремо попереджає, що security-only оновлення можуть не бачити виправлених пакетів до публікації метаданих безпеки; перевіряйте звичайні оновлення та changelog пакетів.

FASTPANEL

На момент перевірки окремого офіційного бюлетеня про PHP2Shell і списку виправлених збірок знайти не вдалося. Наявність версії PHP у панелі не підтверджує наявність патча: перевірте встановлений пакет і репозиторій або зверніться до підтримки по підтвердження.

ispmanager

Системний PHP надходить із репозиторію ОС, альтернативні версії встановлюються з репозиторію ispmanager до /opt/. Перевіряйте обидва джерела: оновлення системного PHP не підтверджує виправлення альтернативних обробників сайтів. На момент перевірки окремого офіційного бюлетеня щодо цих CVE та списку виправлених збірок знайти не вдалося. Це відсутність підтвердження, а не доказ відсутності патчів.