Radar · Безопасность · 21 октября 2026
PHP: две критические уязвимости — срочные исправления 21 октября
PHP выпустил экстренные исправления двух критических уязвимостей, допускающих удалённое выполнение кода без авторизации. Нужно проверить используемую PHP-среду и установить исправленные версии или подтверждённые патчи поставщика.
Что произошло
Что изменилось
21 октября 2026 года команда PHP опубликовала предупреждение и четыре security-релиза: PHP 8.5.12, 8.4.27, 8.3.36 и 8.2.35. Исправлены CVE-2026-109618 (ошибка обработки нехватки памяти при очистке запроса) и CVE-2026-109619 (использование оставшегося внутреннего состояния между запросами). В отдельных условиях обе ошибки могут привести к удалённому выполнению кода без авторизации. Обновление CMS или её плагинов не заменяет исправление интерпретатора PHP. Для устаревших веток возможны отдельные патчи поставщиков с длительной поддержкой, но полагаться на них без подтверждения нельзя.
Кого касается
Где это имеет практический эффект
Риск относится к веб-приложениям, работающим на уязвимых сборках PHP, включая PHP-FPM, Apache mod_php, php-cgi и среды, предоставляемые хостингом или серверной панелью управления. По сообщению PHP, наибольший риск выявлен для mod_php. Версия PHP из командной строки может отличаться от версии, реально обслуживающей сайт. Сайты на WordPress, собственных CMS и других PHP-приложениях зависят от безопасности PHP-среды, даже если сами приложения обновлены.
Что проверить
Практические шаги
- Определить используемые веб-сайтами сборки PHP и обработчики (PHP-FPM, mod_php, CGI), а не ограничиваться командой php -v.
- Установить PHP 8.5.12, 8.4.27, 8.3.36 или 8.2.35 по соответствующей ветке. Для Ubuntu, Debian и панелей хостинга проверять исправления поставщика: номер пакета при backport может отличаться от номера upstream-релиза.
- Перед обновлением сохранить конфигурации и рабочие резервные копии. В средах FASTPANEL и других панелей использовать совместимый официальный механизм обновления, не заменять их PHP-бинарники вручную.
- После установки патча перезапустить соответствующие PHP-FPM/веб-воркеры, проверить реально обслуживающую сайт версию, затем протестировать основные страницы, формы, авторизацию и загрузку файлов.
- Если патча пока нет, временно отключить session.upload_progress.enabled в php.ini или конфигурации пула FPM и перезапустить воркеры; для PHP 8.5 также отключить fatal_error_backtraces. Ограничить размер POST и загрузок с учётом нужд проекта. Эти меры уменьшают риск отдельных сценариев, но не дают полной защиты.
- Проверить журналы на подозрительные запросы и необычные ошибки сервера, продолжить мониторинг исправлений. Для PHP 8.1 и более ранних веток запланировать переход на поддерживаемую версию либо получить проверенный backport от поставщика.
Первичный источник
PHP.net — Security advisory от 21 октября 2026 года
PHP.net — Security advisory от 21 октября 2026 года · CVE2026-109618CVE2026-109619
Radar фиксирует событие и практический следующий шаг. Перед изменениями проверяйте актуальную документацию первичного источника.