21 октября 2026 года разработчики PHP выпустили исправления для двух критических уязвимостей — CVE-2026-109618 и CVE-2026-109619. Они могут позволить злоумышленникам удалённо выполнить код на сервере без авторизации. Рекомендуем владельцам сайтов срочно проверить серверный PHP и установить исправления.
Чем опасны уязвимости PHP
PHP — серверная технология, на которой работают многие сайты, интернет-магазины и корпоративные порталы. Обнаруженные проблемы связаны с обработкой памяти в самом PHP.
Если на сервере вашего проекта используется уязвимая версия PHP без исправлений, злоумышленники могут взломать проект: получить доступ к данным, изменить или удалить файлы, разместить вредоносный код и нарушить работу сайта.
Наличие уязвимости не означает, что сайт уже взломан. Однако нормальная работа проекта также не подтверждает его защищённость.
Какие сайты могут быть под угрозой
Проверка необходима проектам, которые обрабатывают веб-запросы через PHP, включая сайты на «1С-Битрикс», WordPress и других CMS.
В официальном сообщении PHP перечислены PHP-FPM, Apache с mod_php, php-cgi, FrankenPHP и LiteSpeed. Наибольший риск разработчики отмечают для Apache с mod_php.
Обновление самой CMS или её модулей не заменяет установку исправлений PHP на сервере. Например, обновление «1С-Битрикс» через SiteUpdate не устраняет эти серверные уязвимости.
Какие версии PHP содержат исправления
21 октября 2026 года опубликованы следующие исправленные выпуски:
| Ветка PHP | Выпуск с исправлениями |
|---|---|
| PHP 8.2 | 8.2.35 |
| PHP 8.3 | 8.3.36 |
| PHP 8.4 | 8.4.27 |
| PHP 8.5 | 8.5.12 |
Хостинг-провайдер или поставщик операционной системы может включить исправления в собственный пакет, сохранив основной номер версии PHP. Поэтому важно получить подтверждение наличия исправлений именно для CVE-2026-109618 и CVE-2026-109619.
Для PHP 8.1 и более старых веток необходимо уточнить наличие исправлений у поставщика либо подготовить переход на поддерживаемую версию с проверкой совместимости сайта.
Как проверить, нужно ли обновлять PHP
Рекомендуем уточнить у администратора или хостинг-провайдера:
- Какая версия и сборка PHP фактически обслуживает ваш сайт.
- Установлены ли исправления обеих уязвимостей.
- Применены ли исправления ко всем серверным окружениям проекта.
- Перезапущены ли соответствующие службы после обновления.
Если на сервере используются несколько версий PHP, проверить необходимо каждую из них. Если вам нужна помощь с проверкой, обратитесь к нам.
Как мы проводим обновление PHP
- Проверяем серверную среду. Определяем используемые версии PHP, расширения и совместимость с проектом.
- Создаём резервную копию. Сохраняем файлы, базу данных и необходимые настройки, подготавливаем возможность восстановления.
- Согласовываем техническое окно. При необходимости временно приостанавливаем приём заказов, внесение изменений и фоновые операции, чтобы сохранить целостность данных.
- Устанавливаем исправления. Обновляем необходимые пакеты и перезапускаем соответствующие службы.
- Проверяем работу проекта. Тестируем основные страницы, авторизацию, формы, оформление заказов, оплату и интеграции.
Для интернет-магазинов и активно используемых сервисов можем провести работы ночью, чтобы уменьшить влияние на посетителей и сотрудников. Время и продолжительность приостановки проекта согласуем заранее.
Резервная копия помогает восстановить данные, но не устраняет уязвимость. Для защиты необходимо установить исправления.
Стоимость проверки и обновления PHP
Мы готовы проверить серверную среду вашего проекта, подготовить резервную копию, установить необходимые обновления и проверить основные функции сайта.
- Стоимость в рабочее время — 4 500 ₽/час.
- Ночная ставка — 9 000 ₽/час, коэффициент ×2.
- Предварительная трудоёмкость стандартного обновления — до 1 часа на один сервер.
- Если потребуются дополнительные работы или адаптация старого проекта, заранее согласуем их объём и стоимость.
Не откладывайте проверку безопасности. Напишите нам на info@trionix.team и укажите адрес сайта — согласуем проверку и время проведения работ.
Источник: официальное сообщение команды PHP от 21 октября 2026 года.
Материал подготовлен 22 октября 2026 года.
