У PHP виявлено критичні вразливості, що дозволяють віддалено виконувати код на сервері

21 жовтня 2026 року розробники PHP випустили екстрені оновлення безпеки, які усувають дві критичні вразливості — CVE-2026-109618 та CVE-2026-109619. Обидві вразливості потенційно дозволяють зловмисникам виконувати довільний код на вразливих вебсерверах без проходження автентифікації.

Проблеми безпеки стосуються безпосередньо PHP, а не окремих сайтів чи систем керування вмістом. Це робить ситуацію особливо серйозною для хостинг-провайдерів та адміністраторів серверів, на яких працюють WordPress, Joomla, Drupal, MODX та інші PHP-застосунки.

Що відомо про критичні вразливості PHP?

Перша вразливість, CVE-2026-109618, пов'язана з пошкодженням пам'яті в ситуаціях, коли PHP вичерпує доступну оперативну пам'ять (Out of Memory, OOM). Якщо під час обробки внутрішніх даних запиту інтерпретатору бракує пам'яті, деякі структури можуть залишитися частково ініціалізованими. Подальші операції звільнення пам'яті здатні призвести до некоректної обробки даних і за певних умов створити можливість для віддаленого виконання коду.

Друга вразливість, CVE-2026-109619, пов'язана з некоректним керуванням глобальним станом PHP. За певних умов внутрішні структури інтерпретатора можуть зберігати посилання на вже звільнені ділянки пам'яті. Це призводить до небезпечного звернення до пам'яті та потенційно дозволяє виконувати шкідливий код.

За інформацією розробників PHP, вразливості зачіпають різні серверні конфігурації, зокрема PHP-FPM, Apache з модулем mod_php, PHP-CGI, FrankenPHP та LiteSpeed. Особливо серйозною вважається загроза для Apache mod_php, де дослідникам вдалося продемонструвати атаку, яку можна запустити неавтентифікованим запитом ще до початку виконання коду самого вебзастосунку.

Які версії PHP необхідно оновити?

21 жовтня 2026 року команда розробників PHP випустила такі версії з виправленнями безпеки:

Старіші гілки PHP, зокрема PHP 8.1, 8.0, 7.4 та 5.6, більше не отримують регулярних оновлень безпеки від офіційної команди розробників. Сервери, на яких продовжують використовуватися ці версії, потребують особливої уваги. Залежно від операційної системи та постачальника пакетів виправлення можуть бути доступні у вигляді перенесених патчів (backport), навіть якщо номер версії PHP, що відображається, залишається незмінним.

Тому адміністраторам необхідно перевіряти не лише номер встановленої версії PHP, а й наявність відповідних виправлень безпеки у використовуваних програмних пакетах.

Чому ці вразливості особливо небезпечні для вебхостингу?

На відміну від вразливостей окремих плагінів, тем оформлення або систем керування вмістом, помилки безпеки в PHP можуть зачепити середовище виконання, яке одночасно використовують численні вебсайти.

Навіть повністю оновлений WordPress, Joomla або MODX не гарантує захисту від вразливостей самого інтерпретатора PHP. Сайти, власники яких дотримуються всіх стандартних рекомендацій із безпеки, можуть залишатися вразливими, якщо хостинг використовує програмне забезпечення з невиправленими помилками.

У разі успішної експлуатації віддалене виконання коду потенційно дозволяє зловмисникам виконувати шкідливі операції з правами відповідного PHP-процесу. Залежно від конфігурації сервера під загрозою можуть опинитися файли сайтів, конфігураційні дані, облікові дані для підключення до баз даних та інша конфіденційна інформація, доступна цьому процесу.

Ситуація ускладнюється на серверах спільного хостингу, де одночасно встановлено кілька версій PHP. Наприклад, оновлення PHP 8.4 не захищає сайти, які продовжують працювати у вразливому середовищі PHP 8.1 або PHP 7.4.

Що необхідно зробити власникам сайтів та адміністраторам серверів?

Розробники PHP наголошують, що повноцінних альтернативних способів захисту від виявлених вразливостей не існує. Єдиним надійним рішенням є встановлення відповідних оновлень безпеки.

Власникам сайтів та адміністраторам серверів рекомендується виконати такі дії:

• Визначити версії PHP, які використовуються всіма розміщеними сайтами та застосунками.
• Встановити останні оновлення безпеки для підтримуваних гілок PHP.
• Переконатися, що встановлені пакети PHP містять виправлення CVE-2026-109618 та CVE-2026-109619.
• Перевірити сайти, що працюють на застарілих версіях PHP, та оцінити доступні виправлення або можливості переходу на новіші версії.
• За потреби перезапустити відповідні служби PHP та переконатися, що використовуються виправлені версії.
• Перевірити конфігурацію сервера та переконатися, що PHP-процеси працюють із належним обмеженням прав доступу.

Для застарілих застосунків, які неможливо негайно перевести на підтримувану версію PHP, тимчасовим рішенням можуть стати пакети Linux-дистрибутивів, що містять перенесені виправлення безпеки. Однак такі конфігурації потребують ретельної перевірки та постійного обслуговування.

Безпека сайту починається із серверної інфраструктури

Виявлення цих критичних вразливостей PHP ще раз показує, що безпека вебсайту залежить не лише від своєчасного оновлення CMS, плагінів і тем оформлення. Не менш важливими є регулярне обслуговування операційної системи, інтерпретатора PHP, вебсервера та іншого серверного програмного забезпечення.

У FairyHosting ми розуміємо, наскільки важливо підтримувати безпечне та надійне середовище вебхостингу, особливо для сайтів і застосунків, яким необхідна робота з різними версіями PHP.

Якщо ви не впевнені, наскільки безпечною є версія PHP, яку використовує ваш сайт, фахівці FairyHosting допоможуть перевірити серверне середовище, оцінити сумісність з актуальними версіями PHP та підібрати відповідні рішення для підвищення безпеки вашого сайту.

Офіційне джерело: PHP Development Team — критичні вразливості віддаленого виконання коду, 21 жовтня 2026 року.