В PHP закрыты две критические уязвимости. Обновитесь как можно скорее1
21 октября PHP выпустил экстренное обновление безопасности. Оно закрывает CVE-2026-109618 и CVE-2026-109619 (CVSS v4.0 9.2, по оценке NVD 9.8). Обе уязвимости позволяют удалённо выполнить код на сервере без авторизации.
Почему это срочно:
Детали уязвимостей утекли в сеть ещё до выхода патча
Cloudflare зафиксировал первые атаки утром 21 октября, до релиза исправления
Технические разборы уже опубликованы, исследователи ожидают массовых атак
Американское агентство CISA рекомендует обновиться немедленно
Кого это касается:
Любой сервер, где PHP обрабатывает веб-запросы: PHP-FPM, Apache с mod_php, php-cgi, FrankenPHP, LiteSpeed
Самый высокий риск у mod_php: атака срабатывает ещё до запуска кода сайта
Уязвимость в самом PHP, а не в CMS или плагинах. WordPress, Magento, Drupal, Laravel и другие приложения под угрозой, даже если их собственный код в порядке
Что сделать:
Сделайте бэкап
Проверьте версию PHP в панели управления или командой php -v
Обновите PHP до исправленной версии своей ветки: 8.5.12, 8.4.27, 8.3.36 или 8.2.35
Перезапустите PHP-FPM и веб-сервер. Без перезапуска продолжит работать старая версия
Где взять обновление:
PHP из дистрибутива, панели или от LTS-вендора: обновляйтесь через вендора, патчи он получил заранее. На CloudLinux/cPanel пакеты могут выйти чуть позже официального релиза
rpms.remirepo.net 21 октября обновлений не получил. PHP советует перейти на пакеты дистрибутива или собрать PHP из исходников
PHP 8.1 и старше проект больше не поддерживает. Уточните у вендора, есть ли бэкпорт. Для сборки из исходников PHP выложил минимальные патчи для 7.4, 8.0 и 8.1
Планируете переход? Выбирайте PHP 8.4: поддержка 8.2 заканчивается 31 декабря 2026 года. Это миграция, а не простое обновление пакета, поэтому сначала проверьте совместимость CMS и плагинов на тестовой копии
Если обновиться прямо сейчас нельзя
Эти меры официально рекомендует PHP. Они закрывают отдельные пути атаки, но не делают сервер безопасным.
Выставьте session.upload_progress.enabled = 0 в php.ini или конфиге пула FPM и перезапустите все воркеры. ini_set() и .user.ini не помогут
На PHP 8.5 дополнительно выставьте fatal_error_backtraces = 0
Уменьшите post_max_size: 8M, если сайту не нужны загрузки файлов, или 32M, если нужны. upload_max_filesize должен быть меньше post_max_size
Включите WAF. Это способ выиграть время до патча, а не закрыть уязвимость
Приложения, которые не получится обновить, уберите из открытого доступа, например за VPN
Полностью защищает только обновление.
___________________________________________
Вот такое утром прислал провайдер, имейте в виду. Митигация без обновления направлена на более жесткое управление памятью и отключение функций типа глобального состояния, что не даёт полной защиты.
