Экстренное обновление безопасности PHP: уязвимости с оценкой CVSS 9.2 — что делать

Кратко: официальный PHP выпускает экстренный патч безопасности сегодня, 21 октября 2026 года, в 14:00 UTC. Исправляются две критические уязвимости с оценкой 9.2 по шкале CVSS. Всем администраторам серверов необходимо немедленно подготовиться к обновлению — «временные обходные меры» не работают, единственное реальное решение — установка патча или обновление PHP.

Что произошло

Команда безопасности PHP подтвердила две критические уязвимости с идентификаторами CVE-2026-109618 и CVE-2026-109619. Обеим присвоен рейтинг 9.2 по CVSS v4.0 — это уровень «удалённое выполнение кода без аутентификации» (RCE). Злоумышленник может выполнить произвольный код на сервере без входа в систему, что приводит к утечке данных, изменению сайта или полному захвату сервера.

Патч изначально планировался на 22 октября, но из-за утечки технических деталей на Hacker News официальный выпуск был перенесён на сегодня, 14:00 UTC. Затронуты ветки PHP с 8.2 по 8.5; более старые версии (8.1 и ниже), поддержка которых прекращена, исправлений не получат.

Важное предупреждение: не доверяйте «временным мерам»

Ранее предлагалось отключить session.upload_progress для снижения риска. Однако разработчики ядра PHP Джина Питер Баниард и менеджер релиза PHP 8.6 Джо Фергюсон заявили однозначно: «настройки ini вас не спасут» (ini settings won't save you). Единственный способ mitigation — установка патча или обновление PHP.

Если установить патч немедленно невозможно, рекомендация CERT-EU: рассмотреть временное отключение PHP-приложений, доступных из интернета, до завершения обновления.

Конкретные шаги

Шаг 1: определите версию PHP

Подключитесь к серверу и выполните:

php -v

Запишите номер версии. Если версия ниже 8.2 — вы используете неподдерживаемую ветку, необходимо как можно скорее перейти на поддерживаемую.

Шаг 2: сразу после выхода патча обновитесь

После публикации официального патча выполните команды в зависимости от вашей системы:

Debian / Ubuntu (APT):

sudo apt update
sudo apt upgrade php php-cli php-fpm php-mysql php-curl php-gd php-mbstring php-xml php-zip

Если в системных репозиториях версия недостаточно новая, добавьте PPA Ondřej Surý и повторите обновление.

CentOS / RHEL (YUM/DNF):

sudo yum update php*     # или sudo dnf update php*

При использовании репозитория Remi сначала включите репозиторий нужной версии (например, remi-php82), затем выполните обновление.

Шаг 3: перезапустите службы

sudo systemctl restart php-fpm    # или apache2 / httpd / nginx

Шаг 4: проверьте результат

php -v

Убедитесь, что версия соответствует исправленной (ориентируйтесь на официальное объявление на php.net). Затем проверьте сайт на признаки компрометации: необычные файлы, неизвестные административные учётные записи, подозрительные процессы.

Чего делать не нужно

• Не обновляйте только WordPress или плагины — уязвимость находится на уровне самого языка PHP, обновление CMS её не закроет.

• Не полагайтесь на отключение session.upload_progress — разработчики ядра PHP прямо заявили, что это не работает.

• Не откладывайте — уязвимости позволяют выполнять код без аутентификации, а технические детали уже утекли в сеть.