Команда разработчиков PHP готовит экстренное обновление безопасности для устранения двух критических уязвимостей — CVE-2026-109618 и CVE-2026-109619. Обе получили оценку 9,2 из 10 по шкале CVSS v4.0. По сообщениям исследователей безопасности, уязвимости могут позволить удалённое выполнение произвольного кода (RCE), а сведения об их эксплуатации уже появились в открытых источниках.
Выпуск исправлений запланирован на 21 октября 2026 года, 14:00 UTC (17:00 по Киеву). Команда PHP предупредила, что может выпустить обновление раньше, если появятся публичные технические подробности или подтверждения активной эксплуатации. Полная информация о затронутых версиях и исправленных сборках должна быть опубликована вместе с обновлением.
По предварительным оценкам CERT-EU, уязвимости могут затрагивать все версии PHP начиная с ветки 5.x. При этом точный перечень уязвимых версий и технические подробности на момент подготовки материала ещё не были официально раскрыты.
Поскольку проблема связана с самим интерпретатором PHP, потенциальному риску подвержены сайты и приложения на WordPress, WooCommerce, Drupal, Bitrix и других платформах, а также собственные веб-приложения и серверные системы, использующие PHP.
Проверьте, какие версии PHP используются на серверах, сайтах и в приложениях. После публикации исправлений установите соответствующие обновлённые пакеты и убедитесь, что приложения работают корректно.
Не стоит рассчитывать, что обновления CMS или плагинов автоматически исправят уязвимость интерпретатора PHP. На многих серверах его обновление выполняется отдельно — через панель хостинга, системный пакетный менеджер или инструменты управления окружением.
2. При невозможности обновления ограничить публичный доступ.
Если установить исправление сразу не получается, наиболее надёжная временная мера — изолировать уязвимые приложения от публичного интернета до установки патча. В зависимости от назначения сервиса можно использовать VPN, ограничения по IP-адресам или другие сетевые средства контроля доступа.
Особое внимание следует уделить приложениям на неподдерживаемых версиях PHP, для которых исправления могут быть недоступны.
3. Использовать WAF как дополнительный уровень защиты.
Web Application Firewall (WAF) способен отфильтровывать часть вредоносных запросов и снизить риск эксплуатации уязвимости. Если поставщик используемого WAF выпускает соответствующие правила защиты, их стоит применить и проверить журналы блокировок.
Однако WAF не гарантирует блокировку всех вариантов атаки. Различия в обработке HTTP-запросов между фильтром и PHP могут позволить отдельным вредоносным запросам пройти проверку. Поэтому WAF — временная мера снижения риска, а не замена официальному исправлению.
4. Не полагаться на изменение session.upload_progress.enabled.
В первоначальных обсуждениях предлагалось отключить параметр session.upload_progress.enabled в конфигурации PHP. Однако более поздние сведения указывают, что изменение этой настройки не защищает от рассматриваемых уязвимостей. Использовать его как способ устранения проблемы не следует.
5. После обновления проверить сервер на признаки компрометации.
С учётом сообщений об эксплуатации уязвимостей стоит проверить журналы веб-сервера и приложений, наличие неизвестных PHP-файлов, веб-шеллов, неожиданных административных учётных записей и подозрительных исходящих соединений. Само обновление устраняет уязвимость, но не удаляет вредоносные файлы, если злоумышленник уже успел проникнуть на сервер.
До выхода патчей следует по возможности ограничить доступ к уязвимым приложениям. WAF и другие средства фильтрации могут дополнительно снизить риск, но не обеспечивают гарантированной защиты.
Выпуск исправлений запланирован на 21 октября 2026 года, 14:00 UTC (17:00 по Киеву). Команда PHP предупредила, что может выпустить обновление раньше, если появятся публичные технические подробности или подтверждения активной эксплуатации. Полная информация о затронутых версиях и исправленных сборках должна быть опубликована вместе с обновлением.
По предварительным оценкам CERT-EU, уязвимости могут затрагивать все версии PHP начиная с ветки 5.x. При этом точный перечень уязвимых версий и технические подробности на момент подготовки материала ещё не были официально раскрыты.
Поскольку проблема связана с самим интерпретатором PHP, потенциальному риску подвержены сайты и приложения на WordPress, WooCommerce, Drupal, Bitrix и других платформах, а также собственные веб-приложения и серверные системы, использующие PHP.
Что делать администраторам
1. Подготовиться к немедленному обновлению PHP.Проверьте, какие версии PHP используются на серверах, сайтах и в приложениях. После публикации исправлений установите соответствующие обновлённые пакеты и убедитесь, что приложения работают корректно.
Не стоит рассчитывать, что обновления CMS или плагинов автоматически исправят уязвимость интерпретатора PHP. На многих серверах его обновление выполняется отдельно — через панель хостинга, системный пакетный менеджер или инструменты управления окружением.
2. При невозможности обновления ограничить публичный доступ.
Если установить исправление сразу не получается, наиболее надёжная временная мера — изолировать уязвимые приложения от публичного интернета до установки патча. В зависимости от назначения сервиса можно использовать VPN, ограничения по IP-адресам или другие сетевые средства контроля доступа.
Особое внимание следует уделить приложениям на неподдерживаемых версиях PHP, для которых исправления могут быть недоступны.
3. Использовать WAF как дополнительный уровень защиты.
Web Application Firewall (WAF) способен отфильтровывать часть вредоносных запросов и снизить риск эксплуатации уязвимости. Если поставщик используемого WAF выпускает соответствующие правила защиты, их стоит применить и проверить журналы блокировок.
Однако WAF не гарантирует блокировку всех вариантов атаки. Различия в обработке HTTP-запросов между фильтром и PHP могут позволить отдельным вредоносным запросам пройти проверку. Поэтому WAF — временная мера снижения риска, а не замена официальному исправлению.
4. Не полагаться на изменение session.upload_progress.enabled.
В первоначальных обсуждениях предлагалось отключить параметр session.upload_progress.enabled в конфигурации PHP. Однако более поздние сведения указывают, что изменение этой настройки не защищает от рассматриваемых уязвимостей. Использовать его как способ устранения проблемы не следует.
5. После обновления проверить сервер на признаки компрометации.
С учётом сообщений об эксплуатации уязвимостей стоит проверить журналы веб-сервера и приложений, наличие неизвестных PHP-файлов, веб-шеллов, неожиданных административных учётных записей и подозрительных исходящих соединений. Само обновление устраняет уязвимость, но не удаляет вредоносные файлы, если злоумышленник уже успел проникнуть на сервер.
Обновление откладывать не стоит
Две уязвимости PHP представляют серьёзный риск для сайтов и серверных приложений, а появление сообщений об эксплуатации повышает срочность реагирования. Администраторам рекомендуется следить за официальными объявлениями PHP и установить исправления сразу после публикации.До выхода патчей следует по возможности ограничить доступ к уязвимым приложениям. WAF и другие средства фильтрации могут дополнительно снизить риск, но не обеспечивают гарантированной защиты.
Источники для редакционной проверки:
- Официальный анонс PHP — сроки выпуска и оценка критичности.
- CERT-EU — рекомендации по срочному обновлению и временной изоляции приложений.
- Aikido Security — сведения об эксплуатации и уточнение по неэффективности ранее предложенных конфигурационных мер.
- Reuters — сообщения об угрозе и рекомендациях специалистов по кибербезопасности.