Перейти к содержимому

Бизнес-системы и свой стекУмею сделать

Срочное обновление PHP: CVE-2026-109618 и CVE-2026-109619

21 октября 2026 вышли критические исправления PHP. Нахожу, какой PHP обслуживает ваш сайт, обновляю до 8.2.35, 8.3.36, 8.4.27 или 8.5.12, перезапускаю и проверяю.

Для кого
Владельцы сайтов на WordPress, WooCommerce, Magento, PrestaShop, Laravel и других PHP-платформах
Проверено

Знакомо?

Выберите свою ситуацию

Ситуация Бизнес-системы и свой стек
Хостер или php.net пишет «обновите PHP немедленно», а за сервер никто не отвечает.

Как я решаю

Что я делаю

Нахожу PHP, который обслуживает каждый домен. Обновляю до релиза с обоими исправлениями: 8.2.35, 8.3.36, 8.4.27 или 8.5.12, либо до сборки поставщика с этими патчами. Перезапускаю все воркеры PHP: старые процессы не защищены новым пакетом. Проверяю страницы, вход, формы и чекаут. Если сегодня обновить нельзя, применяю временные настройки из бюллетеня. Письменно указываю, что они не заменяют исправление.

Что было объявлено 21 октября 2026

Проект PHP опубликовал критический бюллетень безопасности с двумя уязвимостями в самом PHP: CVE-2026-109618, удалённое выполнение кода через OOM corruption, и CVE-2026-109619, удалённое выполнение кода через устаревшее глобальное состояние. Обе оценены в 9.2 по CVSS 4.0. По данным php.net, они затрагивают все установки PHP, которые обрабатывают веб-запросы, включая PHP-FPM, Apache с mod_php, php-cgi, FrankenPHP и LiteSpeed, и полностью решает проблему только обновление.

1С-Битрикс опубликовал уведомление 21 октября 2026 для владельцев «1С-Битрикс: Управление сайтом» и коробочного Битрикс24. Уязвимости находятся в PHP: SiteUpdate не заменяет его обновление. После установки исправлений нужно перезапустить PHP-FPM или Apache, исполняющий PHP. Источник прочитан 22 октября 2026.

Исправленные версии PHP

Ветка PHPПервый релиз с обоими исправлениями
8.58.5.12
8.48.4.27
8.38.3.36
8.28.2.35, конец жизненного цикла 31 декабря 2026
8.1, 8.0, 7.4Релизов от проекта PHP нет. Бэкпорты исходного кода опубликованы; проверьте сборку своего поставщика.

Где риск подтверждён

  • Apache с mod_php: удалённое выполнение кода подтверждено для обеих CVE. Для CVE-2026-109618 атака срабатывает до запуска любого кода сайта.
  • PHP-FPM, в том числе за Nginx: для CVE-2026-109619 удалённое выполнение кода проверено при определённых условиях; для CVE-2026-109618 риск следует из анализа исходного кода.
  • FrankenPHP и LiteSpeed: php.net называет их затронутыми; эксплойты там описаны как вероятные, но не продемонстрированные.
  • Статические сайты и приложения на Node.js, Python или Go без PHP напрямую этими двумя CVE не затрагиваются.

Процесс

Как это работает

Этапов: 6. Объём работ и цену согласуем заранее.

  1. Составить карту доменов

    Для каждого домена нахожу сервер или контейнер, способ запуска PHP (mod_php, FPM, CGI, FrankenPHP или LiteSpeed) и точную версию, которая отвечает на запросы.

  2. Выбрать путь обновления

    Пакеты безопасности дистрибутива, панель хостинга, пересобранный образ Docker или сборка поставщика для PHP 8.1 и старше.

  3. Сначала резервная копия

    Копия конфигурации PHP и путь назад, прежде чем что-либо менять.

  4. Обновить и перезапустить

    Установить исправленный релиз, затем перезапустить каждый пул FPM, Apache или контейнер, где работает PHP.

  5. Проверить сайт

    Версия подтверждается по каждому домену, затем проверяются страницы, вход в админку, формы и чекаут.

  6. Записать результат

    Что работало раньше, что работает сейчас и всё, что ещё требует решения, например неподдерживаемая ветка PHP.

Передача

Что вы получаете

  • Для каждого домена указаны обслуживающий PHP и версии до и после.
  • Установлен релиз с обоими исправлениями. Если пока нельзя, есть письменное объяснение и план.
  • Все воркеры PHP перезапущены, поэтому исправление реально работает.
  • Короткая проверка сайта после обновления.
  • Письменная сводка, которую можно переслать хостеру, агентству или страховщику.
На чём сделаноЧастей: 10
  1. PHP-FPM
  2. Apache mod_php
  3. Nginx
  4. LiteSpeed
  5. FrankenPHP
  6. образы Docker
  7. пакеты безопасности Debian и Ubuntu
  8. cPanel и Plesk
  9. WordPress Site Health
  10. Composer

Подтверждение

Примеры работ и результаты

Умею сделать Это работа, которую я делаю; подтверждение ниже из похожих проектов.

До → после

До: письмо «обновите сейчас», но за сервер никто явно не отвечает. После выполнения работы: каждый домен использует PHP с обоими исправлениями, старые процессы остановлены, сайт проверен. Здесь описана услуга. Завершённого клиентского кейса по этим двум CVE пока нет.

Что можно посмотреть

Таблица по каждому домену: домен, сервер или контейнер, режим PHP, версия до, версия после, воркеры перезапущены, результат проверки сайта. Здесь показан синтетический пример; данные клиентов никогда не публикуются.

Страница о возможностях написана 21 октября 2026 по бюллетеню безопасности php.net и двум бюллетеням PHP на GitHub. Завершённых клиентских работ по устранению этих двух CVE я не заявляю. Я сам веду свою инфраструктуру на Docker и Nginx и работал с сайтами на WordPress, WooCommerce, Magento, PrestaShop, OpenCart и Drupal.

Цена и сроки

Сколько стоит и как идёт работа

Technical Working Session стоит 10 000 ₽: один сервер или хостинг-аккаунт проверяется вживую и обновляется в ходе сессии, если доступ это позволяет, с короткой письменной сводкой. Для нескольких серверов, контейнеров, собственных сборок или PHP 8.1 и старше нужен Focused Fix от 30 000 ₽, с объёмом и датой, согласованными письменно заранее. Обсудить задачу можно бесплатно.

СметаФиксируется до начала работы

Цена
Technical Working Session 10 000 ₽: один сервер или хостинг-аккаунт проверяется вживую и, если ваш доступ это позволяет, обновляется в той же сессии, с короткой письменной сводкой. Focused Fix от 30 000 ₽ для нескольких серверов или контейнеров, собственных сборок PHP или PHP 8.1 и старше, когда нужен путь обновления. Обсудить задачу можно бесплатно.
Сроки
Начинаю, как только подтверждён доступ, по возможности в тот же рабочий день, по времени Europe/Madrid. Working Session занимает до 60 минут плюс короткая письменная сводка; для Focused Fix дата называется письменно до начала работы.
Первый шаг
Опишите задачу. Я отвечу в течение одного рабочего дня и подскажу, что делать дальше. Первый ответ бесплатный.
Опишите похожую задачу

Заметка Даниилаперед началом работы

Когда это не нужно

Если ваш сайт статический или работает на Node.js, Python или Go без PHP, эти две CVE к нему не относятся. Если управляемый хостинг уже письменно подтвердил, что ваш тариф работает на исправленном релизе и воркеры перезапущены, вам остаётся только проверить версию, которая показывается для вашего сайта.

Даниил

Вопросы

Что об этом спрашивают

Затронут ли мой сайт на WordPress или WooCommerce?

Если PHP, который его обслуживает, старше 8.2.35, 8.3.36, 8.4.27 или 8.5.12 и для него нет патча от поставщика сборки для обеих CVE, то да, сайт затронут. Обновление WordPress, темы или плагинов этого не исправляет: уязвимости в самом PHP. Версию PHP WordPress показывает в разделе Tools → Site Health → Info → Server.

У нас Nginx с PHP-FPM, а не Apache. Мы в безопасности?

Нет. PHP-FPM тоже затронут. Риск выше всего у Apache с mod_php, где показан эксплойт, срабатывающий до запуска любого кода сайта, но для CVE-2026-109619 удалённое выполнение кода проверено и на PHP-FPM при определённых условиях. Nginx перед ним этого не устраняет.

php -v показывает новую версию. Этого достаточно?

Не обязательно. Сайт может использовать другой PHP: в контейнере, отдельном пуле FPM или выбранный в панели хостинга. После установки исправленного пакета нужно перезапустить все работающие воркеры PHP.

У нас PHP 7.4, 8.0 или 8.1. Что делать?

Проект PHP больше не выпускает релизы для 8.1 и старше. Его команда безопасности опубликовала бэкпорты исходного кода для 7.4, 8.0 и 8.1, а некоторые дистрибутивы Linux и поставщики LTS выпускают сборки с патчами. Я проверяю, есть ли в вашей сборке от поставщика оба исправления; если нет, планирую переход на поддерживаемую ветку.

Можно ли исправить это настройкой, без обновления?

Нет. В бюллетенях сказано, что полностью исправляет проблему только обновление. Настройки вроде session.upload_progress.enabled=0, меньшего post_max_size или, на PHP 8.5, fatal_error_backtraces=0 снижают риск на какое-то время. Я использую их только как временную меру и сообщаю об этом письменно.

Затронут ли мой магазин на Shopify?

Сам магазин работает на Shopify, так что своего PHP, который нужно патчить, там нет. Кастомное приложение, интеграция или приёмник вебхуков, которые вы размещаете сами и которые написаны на PHP, затронуты.

Какой доступ вам нужен?

Виртуальный хостинг: панель хостинга, где выбирается версия PHP. VPS или выделенный сервер: SSH с sudo. Контейнеры: репозиторий или реестр и пайплайн деплоя. Пароли в чате присылать не нужно; сначала мы настраиваем доступ безопасным способом.

Похожие ситуации

Все ситуации
Daniil Maximkin

Здравствуйте, я Даниил.

Я сам разбираюсь в задаче, выполняю работу и передаю результат. Все вопросы вы обсуждаете напрямую со мной. Общаюсь на русском и английском. На испанском могу переписываться с помощью переводчика.

Моя история Мои проекты

Есть похожая задача?

Опишите задачу

Отвечу в течение одного рабочего дня. Первый ответ бесплатный. Или напишите напрямую: next@taskfordaniel.com

Обсудить задачу

Расскажите, что нужно разработать, исправить или подключить.

Описать задачу next@taskfordaniel.com