Критические уязвимости в PHP

22.10.2026 Информируем Вас о критических уязвимостях в PHP, опубликованных 21 октября 2026 года командой разработчиков PHP.

Обнаружены две уязвимости (CVE-2026-109618 и CVE-2026-109619), позволяющие удалённое выполнение кода без аутентификации. Уязвимости подвержены все установки PHP, обрабатывающие веб-запросы: PHP-FPM, Apache с mod_php, php-cgi, FrankenPHP, LiteSpeed.

Уязвимость находится в самом PHP, а не в коде сайтов или CMS (Bitrix24, WordPress и других). Обновление CMS не устраняет проблему — требуется обновление PHP на уровне сервера.

Исправления выпущены в версиях **PHP 8.5.12, 8.4.27, 8.3.36 и 8.2.35**. Для PHP 7.4, 8.0 и 8.1 команда PHP подготовила минимальные патчи; большинство Linux-дистрибутивов также выпустили обновлённые пакеты.

Официальное уведомление: https://www.php.net/archive/2026.php#2026-10-21-1

Виртуальный хостинг

На всех серверах виртуального хостинга support.by обновление PHP уже установлено. Никаких действий с Вашей стороны не требуется.

VDS, выделенные серверы, GPU/AI-серверы, размещение оборудования (colocation)

В рамках данных услуг настройка сервера и программного обеспечения выполняется клиентом самостоятельно. Настоятельно рекомендуем в кратчайшие сроки:

1. Проверить версию PHP на всех серверах (включая все пулы FPM, панели управления и контейнеры, если используется несколько версий).
2. Установить обновления из репозитория Вашего дистрибутива либо из исходных кодов.
3. Перезапустить все рабочие процессы PHP (php-fpm, apache/httpd).
4. Проверить корректность работы сайтов и приложений после обновления.
5. Если используется PHP 8.1 и старше — запланировать переход на поддерживаемую версию. PHP 8.2 перестанет получать обновления безопасности 31 декабря 2026 года.

Если обновление невозможно выполнить немедленно, команда PHP рекомендует временные меры, снижающие (но **не устраняющие**) риск: `memory_limit = -1` через php_admin_value; ограничение `post_max_size` (8M без загрузки файлов, 32M при необходимости загрузки); `session.upload_progress.enabled = 0` в php.ini или конфигурации пула с перезапуском всех воркеров; для PHP 8.5 — `fatal_error_backtraces = 0`. Полноценной защитой является только установка обновления.

Если Вам требуется помощь

Наши инженеры могут выполнить обновление PHP и проверку работоспособности сайтов за Вас.

Cоздайте заявку в личном кабинете, указав серверы, на которых требуется обновление, используемые CMS/приложения и желаемое время проведения работ (возможен кратковременный перерыв в работе сайтов на время перезапуска PHP). После выполнения работ Вы получите письменное подтверждение с указанием установленных версий.

Благодарим за сотрудничество!