21 октября 2026 года разработчики PHP выпустили срочные обновления безопасности. Они устраняют две критические уязвимости — CVE-2026-109618 и CVE-2026-109619, которые могут позволить злоумышленникам выполнять код на уязвимом сервере без авторизации.
Проблема затрагивает версии PHP от 5.4 до 8.5.11. Риск зависит в том числе от конфигурации сервера. По данным разработчиков PHP, особенно уязвимы системы, использующие Apache с модулем mod_php.
Масштаб угрозы оказался настолько серьёзным, что 21 октября ряд организаций временно ограничил доступ к своим онлайн-ресурсам. Среди них — Wikimedia Foundation, отключившая часть своих систем, Национальный центр кибербезопасности Нидерландов, МВД Франции и государственные веб-сервисы Финляндии. Потенциально уязвимо около 70% интернет-ресурсов в мире.
Как обнаружили уязвимости?
В обнаружении одной из критических уязвимостей важную роль сыграла модель OpenAI GPT‑5.6 Sol в рамках инициативы Patch the Planet. Исследователи и специалисты по безопасности также участвовали в проверке проблемы и подготовке защиты. Исправления выпустила команда разработчиков PHP.
Ситуация показывает, насколько важно своевременно обновлять программное обеспечение, от которого зависит безопасность сайтов и серверов.
На какие версии PHP необходимо перейти?
21 октября разработчики выпустили исправления для четырёх поддерживаемых веток PHP:
- PHP 8.2 — до версии 8.2.35;
- PHP 8.3 — до версии 8.3.36;
- PHP 8.4 — до версии 8.4.27;
- PHP 8.5 — до версии 8.5.12.
Важно: поддержка PHP 8.2 завершится 31 декабря 2026 года, а PHP 8.1 и более ранние версии больше не поддерживаются в стандартном режиме. Для них могут выпускаться отдельные исправления безопасности, однако их наличие не гарантирует полного устранения уязвимостей. Рекомендуем перейти на поддерживаемую версию PHP, предварительно проверив совместимость сайта.
Что делать владельцам сайтов?
Если ваш сайт использует PHP, проверьте установленную версию и убедитесь, что для неё доступно исправление:
- если сайт размещён на виртуальном хостинге HB.BY, проверьте список доступных версий PHP в панели управления. Если исправленная версия доступна, перед переключением убедитесь в совместимости сайта. Если нужной версии нет или вы не уверены, как поступить, обратитесь в службу поддержки;
- если сайт размещён на VPS, проверьте версию PHP и установите соответствующее исправление. Если у вас нет необходимых технических знаний, поручите обновление системному администратору;
- если сайт работает на устаревшей CMS или использует старые плагины, перед переходом на новую версию PHP проверьте их совместимость. Возможно, потребуется обновить CMS, плагины или доработать код.
Если исправление пока недоступно, обратитесь к хостинг-провайдеру или системному администратору, чтобы уточнить возможные меры защиты. Не откладывайте проверку безопасности сайта.
Важно: если установить исправление сразу невозможно, следует оценить риски и рассмотреть временное ограничение доступа к уязвимому сайту до обновления.
UPD. На Unix-серверах HB.BY обновлены версии PHP, доступ к серверам из-за пределов Беларуси восстановлен. На Windows-серверах обновлены версии PHP с 8.2 по 8.4 включительно.
Обновление серверов специалистами HB.BY не отменяет рекомендации использовать официально поддерживаемые версии PHP.