В PHP обнаружены критические уязвимости, позволяющие удалённо выполнять код на сервере

21 октября 2026 года разработчики PHP выпустили экстренные обновления безопасности, устраняющие две критические уязвимости — CVE-2026-109618 и CVE-2026-109619. Обе уязвимости потенциально позволяют злоумышленникам выполнять произвольный код на уязвимых веб-серверах без прохождения аутентификации.

Проблемы безопасности затрагивают непосредственно PHP, а не отдельные сайты или системы управления контентом. Это делает ситуацию особенно серьёзной для хостинг-провайдеров и администраторов серверов, на которых работают WordPress, Joomla, Drupal, MODX и другие PHP-приложения.

Что известно о критических уязвимостях PHP?

Первая уязвимость, CVE-2026-109618, связана с повреждением памяти в ситуациях, когда PHP исчерпывает доступную оперативную память (Out of Memory, OOM). Если во время обработки внутренних данных запроса интерпретатору не хватает памяти, некоторые структуры могут остаться частично инициализированными. Последующие операции освобождения памяти способны привести к некорректной обработке данных и при определённых условиях создать возможность для удалённого выполнения кода.

Вторая уязвимость, CVE-2026-109619, связана с некорректным управлением глобальным состоянием PHP. При определённых условиях внутренние структуры интерпретатора могут сохранять ссылки на уже освобождённые области памяти. Это приводит к небезопасному обращению с памятью и потенциально позволяет выполнять вредоносный код.

По информации разработчиков PHP, уязвимости затрагивают различные серверные конфигурации, включая PHP-FPM, Apache с модулем mod_php, PHP-CGI, FrankenPHP и LiteSpeed. Особенно серьёзной считается угроза для Apache mod_php, где исследователям удалось продемонстрировать атаку, запускаемую неавторизованным запросом ещё до начала выполнения кода самого веб-приложения.

Какие версии PHP необходимо обновить?

21 октября 2026 года команда разработчиков PHP выпустила следующие версии с исправлениями безопасности:

Более старые ветки PHP, включая PHP 8.1, 8.0, 7.4 и 5.6, уже не получают регулярных обновлений безопасности от официальной команды разработчиков. Серверы, на которых продолжают использоваться эти версии, требуют особого внимания. В зависимости от операционной системы и поставщика пакетов исправления могут быть доступны в виде перенесённых патчей (backport), даже если отображаемый номер версии PHP остаётся прежним.

Поэтому администраторам необходимо проверять не только номер установленной версии PHP, но и наличие соответствующих исправлений безопасности в используемых программных пакетах.

Почему эти уязвимости особенно опасны для веб-хостинга?

В отличие от уязвимостей отдельных плагинов, тем оформления или систем управления контентом, ошибки безопасности в PHP могут затронуть среду выполнения, которую одновременно используют многочисленные веб-сайты.

Даже полностью обновлённый WordPress, Joomla или MODX не гарантирует защиту от уязвимостей самого интерпретатора PHP. Сайты, владельцы которых соблюдают все стандартные рекомендации по безопасности, могут оставаться уязвимыми, если хостинг использует программное обеспечение с неисправленными ошибками.

При успешной эксплуатации удалённое выполнение кода потенциально позволяет злоумышленникам выполнять вредоносные операции с правами соответствующего PHP-процесса. В зависимости от конфигурации сервера под угрозой могут оказаться файлы сайтов, конфигурационные данные, учётные данные для подключения к базам данных и другая конфиденциальная информация, доступная этому процессу.

Ситуация усложняется на серверах виртуального хостинга, где одновременно установлено несколько версий PHP. Например, обновление PHP 8.4 не защищает сайты, которые продолжают работать в уязвимом окружении PHP 8.1 или PHP 7.4.

Что необходимо сделать владельцам сайтов и администраторам серверов?

Разработчики PHP подчёркивают, что полноценных альтернативных способов защиты от обнаруженных уязвимостей не существует. Единственным надёжным решением является установка соответствующих обновлений безопасности.

Владельцам сайтов и администраторам серверов рекомендуется выполнить следующие действия:

• Определить версии PHP, используемые всеми размещёнными сайтами и приложениями.
• Установить последние обновления безопасности для поддерживаемых веток PHP.
• Убедиться, что установленные пакеты PHP содержат исправления CVE-2026-109618 и CVE-2026-109619.
• Проверить сайты, работающие на устаревших версиях PHP, и оценить доступные исправления или возможности перехода на более новые версии.
• При необходимости перезапустить соответствующие службы PHP и убедиться, что используются исправленные версии.
• Проверить конфигурацию сервера и убедиться, что PHP-процессы работают с надлежащим ограничением прав доступа.

Для устаревших приложений, которые невозможно немедленно перевести на поддерживаемую версию PHP, временным решением могут стать пакеты Linux-дистрибутивов, содержащие перенесённые исправления безопасности. Однако такие конфигурации требуют тщательной проверки и постоянного обслуживания.

Безопасность сайта начинается с серверной инфраструктуры

Обнаружение этих критических уязвимостей PHP ещё раз показывает, что безопасность веб-сайта зависит не только от своевременного обновления CMS, плагинов и тем оформления. Не менее важны регулярное обслуживание операционной системы, интерпретатора PHP, веб-сервера и другого серверного программного обеспечения.

В FairyHosting мы понимаем, насколько важно поддерживать безопасную и надёжную среду веб-хостинга, особенно для сайтов и приложений, которым необходима работа с различными версиями PHP.

Если вы не уверены, насколько безопасна версия PHP, используемая вашим сайтом, специалисты FairyHosting помогут проверить серверное окружение, оценить совместимость с актуальными версиями PHP и подобрать подходящие решения для повышения безопасности вашего сайта.

Официальный источник: PHP Development Team — критические уязвимости удалённого выполнения кода, 21 октября 2026 года.