+7 495 960-90-71 Начать диагностику
Безопасность серверов

Обновление PHP с исправлением критических уязвимостей

Проверим вашу инфраструктуру и обновим PHP до версии с исправлениями CVE-2026-109618 и CVE-2026-109619. Подберём вариант обновления с учётом ваших сайтов, приложений и серверного окружения.

+7 495 960-90-71
Связаться с нами

Поможем проектам на любых CMS и фреймворках

  • PHP
  • Битрикс
  • Битрикс24
  • Laravel
  • WordPress
  • Symfony
  • Yii
  • Drupal
  • OpenCart
  • MODX
01 / Что произошло

Критические ошибки PHP потребовали срочного обновления серверов

21 октября 2026 года разработчики PHP выпустили экстренные исправления двух уязвимостей, позволяющих при определённых условиях выполнять код на сервере без авторизации. Проблема затрагивает сам интерпретатор PHP. Сообщение разработчиков PHP.

  • CVE-2026-109618: при нехватке памяти PHP может некорректно завершить обработку запроса и обратиться к неинициализированным данным. Описание первой уязвимости.
  • CVE-2026-109619: процесс PHP может сохранить ссылки на уже освобождённую память и обратиться к ней при последующей обработке. Описание второй уязвимости.

Что известно о масштабе

РБК 22 октября привёл заявление главы Cloudflare Мэттью Принса о миллионах попыток эксплуатации. Это оценка числа попыток атак, а не количества успешно взломанных сайтов. РБК.

Cloudflare в собственном сообщении подтверждает наблюдение атакующего трафика и изменение запросов злоумышленниками для обхода защиты.

В проверенных источниках на 24 октября нет сводного подтверждённого числа успешно взломанных организаций и достаточных данных для списка «крупнейших взломов» через эти две CVE. Публично описанные отключения нельзя выдавать за доказанные взломы.

Заметные последствия для организаций

Wikimedia. На время установки исправлений организация профилактически ограничивала Cloud VPS, Toolforge и другие сервисы. К вечеру 23 октября Phabricator и Gerrit CI были восстановлены, а облачные сервисы возвращались поэтапно. Это сообщение о защитных мерах и доступности сервисов, а не подтверждение взлома Wikipedia. Статус Wikimedia.

Государственные и общественные сервисы. РБК сообщал о временных отключениях государственных веб-сервисов Финляндии и Чехии, сайтов МИД Бельгии, Минфина Японии и порта Роттердама. Эти случаи также описаны как профилактические меры. РБК.

02 / Риски для бизнеса

Под угрозой — работа сервисов и данные, доступные серверу

Успешная эксплуатация может привести к выполнению постороннего кода, раскрытию данных или отказу сервиса. Результат зависит от конфигурации PHP, приложения и прав процесса. Обзор Cloudflare.

Простой сайта и потеря заявок.

Сбои обработки запросов могут прервать работу магазина, личного кабинета или внутреннего сервиса. Вынужденное отключение для защиты тоже влияет на доступность.

Раскрытие данных.

Если атакующий получает доступ к памяти или выполняет код с правами приложения, под угрозой оказываются доступные ему данные и секреты. Конкретный ущерб требует отдельной проверки.

Изменение файлов и дальнейшее проникновение.

Выполнение кода может дать возможность менять доступные процессу файлы и использовать его учётные данные для доступа к другим системам. Это возможные последствия, а не утверждение, что любой уязвимый сервер уже взломан.

Обновления CMS недостаточно. Исправление WordPress или Битрикс, модуля или темы не заменяет обновление PHP. Наличие WAF также не отменяет необходимость установить исправления. Cloudflare.

03 / Реакция ведомств

Организации призывают обновить PHP и проверить серверы

Россия

По данным РБК, письмо НКЦКИ от 22 октября адресовано владельцам объектов критической информационной инфраструктуры и разослано через ГосСОПКА. Получателям предписано обновить PHP, проверить серверы антивирусом, изучить журналы и сообщать о подозрительных инцидентах. Если быстрое обновление невозможно, предлагается рассмотреть ограничение внешнего доступа, вплоть до отключения уязвимых веб-серверов. Материал РБК.

Речь об указанной в публикации категории адресатов. Эта новость не означает общего требования отключить все российские сайты. Публичный оригинал письма в рамках подготовки материала не получен; описание его содержания приводится по РБК.

Великобритания

NCSC рекомендует найти системы с PHP, в первую очередь доступные из интернета, установить исправления и следить за обновлениями поставщиков. Если обновление и временные меры нельзя применить вовремя, центр предлагает рассмотреть отключение системы до устранения риска.

Финляндия

Национальный центр кибербезопасности Traficom в обзоре от 23 октября сообщил о критических уязвимостях PHP и призвал без промедления перейти на исправленные версии. Обзор Traficom.

Что это означает для компании: стоит определить, где используется PHP, кто отвечает за обновление и какие меры нужны до его завершения. Объём действий зависит от вашей инфраструктуры и её назначения.

04 / Проверка серверов

Проверьте версию PHP, способ запуска и установленные исправления

  1. Найдите все системы, в которых используется PHP

    Проверьте сайты, CRM, внутренние порталы, панели управления, контейнеры и готовые серверные продукты. В инфраструктуре могут одновременно работать разные версии PHP. Начните с систем, доступных из интернета.

  2. Уточните версию именно веб-окружения

    PHP у сайта может отличаться от PHP в командной строке. Попросите администратора проверить каждый виртуальный хост, пул PHP-FPM, контейнер и образ приложения. Один вывод php -v не заменяет эту проверку. Это практический порядок инвентаризации для услуги.

    Разработчики PHP включают в область риска PHP-FPM, Apache с mod_php, php-cgi, FrankenPHP и LiteSpeed. Наиболее высокий риск они отмечают для mod_php; использование PHP-FPM само по себе не исключает проблему. Предупреждение PHP.

  3. Сверьте исправления с поставщиком

    Первые upstream-релизы, исправляющие обе указанные CVE:

    Первые исправления CVE-2026-109618 и CVE-2026-109619
    PHP Версия с исправлениями
    8.2 8.2.35
    8.3 8.3.36
    8.4 8.4.27
    8.5 8.5.12

    Источник: бюллетень разработчиков. Перед работами проверяется актуальный выпуск выбранной ветки. Эта таблица относится к двум указанным CVE и не является гарантией отсутствия любых других уязвимостей.

    Для пакетов Linux учитывается также бюллетень дистрибутива: поставщик может перенести исправление в пакет со старым базовым номером версии. Одного сравнения номера недостаточно. Пояснение Red Hat о backport-исправлениях.

    PHP 8.1 и более старые ветки не получают штатных обновлений проекта PHP. Для 7.4, 8.0 и 8.1 разработчики предоставили минимальные исправления исходного кода; это не возобновляет поддержку этих веток. Обсудите переход на поддерживаемую ветку или проверенное решение поставщика расширенной поддержки. Порядок обновления PHP.

  4. Учтите дополнительное предупреждение от 23 октября

    После экстренного релиза PHP отдельно рекомендовал временно отключить session.upload_progress.enabled до очередного bugfix-релиза из-за редкого сценария, связанного с переключением обработчика сессий во время выполнения. Он отслеживается как CVE-2026-115560. Применимость настройки и её влияние на приложение должен проверить инженер. Дополнительное сообщение PHP.

  5. Проверьте совместимость и возможность восстановления

    До обновления согласуйте резервное копирование, проверку восстановления, совместимость CMS, расширений и интеграций, а также окно работ. После обновления нужно проверить ключевые сценарии: авторизацию, формы, оплату и обмен данными — в зависимости от назначения сервиса. Это предлагаемый порядок выполнения работ; состав фиксируется после оценки.

  6. Проверьте, нет ли признаков компрометации

    Обновление закрывает известные уязвимости, но не доказывает, что ранее сервер не был взломан. Если есть подозрительная активность, нужны анализ журналов и проверка на оставленный атакующим доступ.

Не знаете, какая версия PHP работает у вас? Оставьте заявку: начнём с выяснения состава инфраструктуры.

05 / Порядок работ

Готовы выполнить работы без предоплаты

  1. Подписываем рабочий договор и при необходимости NDA. Согласуем условия сотрудничества и конфиденциальности. Оформляем документы через ЭДО.
  2. Уточняем IT-инфраструктуру компании. Выясняем, какие серверы и приложения используют PHP, как они связаны между собой и какие ограничения нужно учитывать.
  3. Получаем доступ к серверу. Согласовываем необходимые доступы и порядок работы с вашей командой.
  4. Даём оценку работ. Определяем объём обновления, необходимые изменения и стоимость.

После согласования оценки и окна работ выполняем обновление и проверяем согласованные сценарии. Работаем ежедневно; при необходимости согласуем ночное время. Обслуживание IT-инфраструктуры — от 30 000 рублей, также возможно абонентское обслуживание.

06 / Инженерный подход

Как используем AI

Мы AI-компания, но базируемся на более чем 20-летнем опыте наших инженеров и не доверяем слепо ИИ-моделям.

ИИ помогает быстрее разбираться в задачах, готовить варианты решений и проверять гипотезы. Решение о применении и контроль работ остаются за специалистами.

Решения проходят проверку

До применения предложения ИИ проходят аудит у опытных разработчиков: проверяем логику, совместимость и риски для вашего окружения. Критические работы с инфраструктурой инженеры выполняют вручную.

Доступ только по согласованию

Без вашего согласования мы не даём ИИ-агентам доступ к продакшен-серверам и любым другим серверам вашей компании. Заранее определяем, какие данные и инструменты можно использовать для решения задачи.

Локальные LLM и 152-ФЗ

Для работы с персональными данными используем локальные LLM в защищённом контуре. Это часть работы по соблюдению 152-ФЗ: отдельно учитываем основания обработки, разграничение доступа и меры защиты данных.

На главной — подробнее о нашей AI-экспертизе, направлениях работы и проектах.

Подробнее о нашей AI-экспертизе
07 / Оставить заявку

Обсудим обновление ваших серверов

Оставьте телефон и кратко опишите задачу. Если знаете, укажите количество серверов, текущие версии PHP и приложения, которые на них работают. Заявку можно отправить и без этих сведений.

Разовая услуга — от 30 000 рублей. Возможно абонентское обслуживание.

Укажите удобное время для работ. Не отправляйте в заявке пароли и ключи доступа.

+7 495 960-90-71
Связаться напрямую