В PHP закрыли две критические уязвимости: в Европе отключают госсервисы, владельцам сайтов нужно срочно обновиться

Команда PHP 21 октября выпустила исправления двух критических уязвимостей, через которые злоумышленник может выполнить код на сервере без входа в систему. Обе получили 9,2 балла из 10 по шкале CVSS — стандартной оценке опасности уязвимостей. По данным сервиса веб-статистики W3Techs, на PHP работает около 70% сайтов, чей серверный язык удалось определить, в том числе сайты на WordPress, Drupal и Joomla. Команда PHP советует всем пользователям обновиться немедленно.

Как устроены уязвимости

У уязвимостей номера CVE-2026-109618 и CVE-2026-109619 в международном реестре CVE. Первая срабатывает при нехватке памяти: PHP прерывается, пока данные запроса заполнены лишь частично, а при завершении запроса принимает их за корректные. Вторая оставляет в памяти состояние прошлого запроса, и злоумышленник может воспользоваться им в следующем запросе к тому же процессу. Под угрозой любая установка PHP, которая обрабатывает веб-запросы, — PHP-FPM, Apache с mod_php, php-cgi, FrankenPHP и LiteSpeed. Сильнее всего риск для конфигурации с mod_php: для нее, по данным команды PHP, уже показали атаку, которая срабатывает до запуска кода самого сайта. «Обновление WordPress, Drupal, Joomla или другой CMS проблему не решает — менять нужно именно PHP», — предупреждает Лука Сафонов из «Гарды», его слова приводит «Фонтанка». Компания «Гарда» делает в том числе системы защиты сайтов.

Кто нашел и были ли атаки

Уязвимости нашли исследователи Wiz — компании, которая принадлежит Alphabet, материнской компании Google. Они работали с собственным ИИ-агентом и моделями Gemini 4 Argon и GPT-5.6 Sol, пишут TechCrunch и «Коммерсантъ». Одну из двух ошибок, по данным TechCrunch, нашла и Calif — компания по тестированию безопасности, которая ищет ошибки в открытом коде по программе OpenAI. Уязвимости затрагивают версии начиная с PHP 5.4, сообщает 3DNews со ссылкой на Wiz. Источники расходятся в том, были ли атаки до выхода исправлений. OpenAI пишет, что ошибки нашли раньше злоумышленников, а «Коммерсантъ» со ссылкой на Reuters — что хакеры их уже использовали. В бюллетене команды PHP об атаках не сказано. Cloudflare, по данным 3DNews, заранее развернула защитные правила и фиксирует попытки атак, но когда они начались, издание не уточняет.

Кто отключает сайты и что в России

CERT-EU, служба кибербезопасности учреждений Евросоюза, призвала учреждения ЕС отключить сайты, которые не удается быстро обновить, до установки исправлений. Такой же совет дало Агентство национальной безопасности США. МВД Франции отключило сайты префектур, госпровайдер ITZBund в Германии — часть сайтов госучреждений, МИД Бельгии — свой сайт, пишет «Коммерсантъ» со ссылкой на Reuters. Нидерланды и Финляндия отключили часть госсайтов 21 октября. В России под угрозой «десятки, а возможно, и сотни тысяч» сайтов, оценивает Сафонов. Его оценку «Фонтанка» приводит со ссылкой на РБК, как он считал, в материале не сказано. Российские хостеры 21 октября начали предупреждать клиентов. Хостер Beget в тот же день ограничил в PHP механизм отслеживания загрузки файлов session.upload_progress и предупредил о возможных временных ограничениях на загрузку файлов через формы.

Что это значит для владельцев сайтов

Узнайте версию PHP на каждом сайте, лендинге и поддомене — в панели хостинга или у поддержки. Команда PHP закрыла уязвимости в версиях 8.5.12, 8.4.27, 8.3.36 и 8.2.35 — ставить нужно их или более новые. Готовые обновленные версии вышли только для веток с 8.2 по 8.5. Для 7.4, 8.0 и 8.1 команда выложила исправления исходного кода: их можно применить, если собираете PHP сами, а часть дистрибутивов Linux выпускает свои исправления. Для более ранних версий проект ничего не выпускал. Сайт на 8.1 и ниже переведите на поддерживаемую ветку, а после переезда проверьте, работают ли формы и плагины. Ветка 8.2 перестанет получать обновления 31 декабря 2026 года, поэтому разумнее сразу брать 8.3 или новее. На виртуальном хостинге версию обычно меняют в панели, на VPS PHP обновляет владелец сервера. После обновления перезапустите веб-сервер и все процессы PHP. Если сайт работал на уязвимой версии, проверьте сервер на следы взлома, как советует британский центр кибербезопасности NCSC, и смените пароли, ключи и токены. Временные настройки от команды PHP, например отключение session.upload_progress, сокращают риск, но, по ее же словам, не делают сайт безопасным.