Критические уязвимости в PHP позволяют удалённо выполнить код: нужно срочно обновиться

21 октября 2026 года разработчики PHP выпустили внеплановые обновления 8.5.12, 8.4.27, 8.3.36 и 8.2.35. Они закрывают две критические уязвимости, CVE-2026-109618 и CVE-2026-109619, каждая из которых получила 9,2 балла по шкале CVSS v4.0. Обе позволяют выполнить произвольный код на сервере без какой-либо авторизации, поэтому команда PHP призывает всех пользователей обновиться немедленно.

Первая уязвимость, CVE-2026-109618, связана с обработкой нехватки памяти. Такая ситуация может прервать PHP в момент, когда внутренние данные запроса заполнены лишь частично, а затем при очистке запроса эти некорректные данные обрабатываются как правильные. Вторая, CVE-2026-109619, устроена иначе: внутреннее состояние запроса может пережить освобождение своей памяти, и следующий запрос в том же рабочем процессе успевает воспользоваться этим устаревшим состоянием ещё до штатной инициализации.

По данным PHP, под угрозой все установки, которые обслуживают веб-запросы: PHP-FPM, Apache с mod_php, php-cgi, FrankenPHP и LiteSpeed. Сильнее всего рискует mod_php: для него продемонстрирован эксплойт, который срабатывает от одного неавторизованного запроса ещё до того, как начинает работать код самого сайта.

Ситуация уже не теоретическая. Как пишет CloudLinux, в сети распространяется публичный инструмент для эксплуатации, и с его помощью массово сканируют серверы. Специалисты Sansec ожидают массовых атак после выхода исправлений, хотя Huntress и watchTowr утром 21 октября ещё не фиксировали реальных взломов. CERT-EU тем временем выпустил собственный бюллетень 2026-018.

Главная рекомендация простая: обновить PHP до 8.5.12, 8.4.27, 8.3.36 или 8.2.35. Если PHP установлен из пакетов дистрибутива или хостинг-панели, обновление нужно брать у поставщика, ведь дистрибутивы и LTS-вендоры получили патчи заранее. Номер версии в таких пакетах может оказаться ниже, поэтому наличие исправления лучше проверять по упоминанию CVE в changelog пакета.

Сложнее владельцам старых версий. Ветки PHP 8.1 и старше проект больше не обновляет, хотя для 7.4, 8.0 и 8.1 команда PHP всё же опубликовала минимальные патчи к исходному коду. Кроме того, некоторые вендоры выпускают собственные бэкпорты: например, CloudLinux исправил свои сборки alt-php и ea-php вплоть до ветки 5.x.

Если обновиться прямо сейчас не получается, риск можно временно снизить. Для этого стоит отключить session.upload_progress.enabled в php.ini или настройках пула FPM, перезапустить все рабочие процессы и ограничить размер запросов на веб-сервере или прокси. Однако разработчики подчёркивают, что такие меры не делают сервер безопасным и полностью проблему решает только обновление.

Напомним также, что у PHP 8.2 поддержка заканчивается 31 декабря 2026 года, так что переход на более новую ветку лучше планировать уже сейчас.

Источники (по состоянию на 22.10.2026): PHP Security advisory, CloudLinux.