PHP выпустил экстренный патч против взлома сайтов
Коротко: 21 октября 2026 года команда разработчиков PHP выпустила экстренные обновления 8.5.12, 8.4.27, 8.3.36 и 8.2.35, закрывающие две критические уязвимости — CVE-2026-109618 и CVE-2026-109619 (CVSS до 9.2–10.0). Обе позволяют удалённое выполнение кода без авторизации на сайтах, работающих через PHP-FPM, Apache mod_php, php-cgi, FrankenPHP и LiteSpeed — то есть практически на любом хостинге с WordPress, Joomla, Drupal, Magento или Laravel. Из-за утечки деталей раньше запланированного срока администраторам пришлось временно отключать часть сайтов в сети. Если вы просто читаете чужие сайты, прямой угрозы вам нет — риск в том, что через взломанный сайт злоумышленники получают доступ к базам данных с личными данными посетителей, а подробнее о том, как проверить, не утекли ли уже ваши данные через подобный взлом, — в нашем гайде о проверке утечки персональных данных.
Что произошло
21 октября 2026 года в 17:00 по московскому времени PHP Group выпустила серию исправлений — 8.5.12, 8.4.27, 8.3.36 и 8.2.35 — для двух критических уязвимостей, получивших неформальное имя «PHP2Shell». По данным Хабра и «Хакера», патч вышел раньше намеченного скоординированного раскрытия: подробности об уязвимостях утекли в сеть, и разработчики были вынуждены ускорить релиз, не дождавшись полной готовности обычного процесса координации с хостерами и крупными CMS. Часть администраторов сайтов по всему миру временно отключила ресурсы, чтобы вручную применить фиксы до публикации рабочего эксплойта.
Что за уязвимости и чем они опасны
CVE-2026-109618 — удалённое выполнение кода (RCE), которое срабатывает при исчерпании памяти PHP-процесса: в этот момент происходит сбой очистки ресурсов, которым может воспользоваться атакующий. Официальная оценка — 9.2 по CVSS v4.0, а независимые исследователи из WatchTowr оценили эксплуатируемость на практике как максимальную — 10.0. CVE-2026-109619 связана с обращением к уже освобождённой области памяти (use-after-free) из-за некорректной очистки глобального состояния интерпретатора. Для обеих уязвимостей не требуется ни авторизация, ни специальные права на сайте — достаточно отправить специально сформированный HTTP-запрос уязвимому серверу.
Какие сайты под угрозой
Проблема касается PHP версий 5–8 во всех основных конфигурациях — PHP-FPM, Apache mod_php, php-cgi, FrankenPHP и LiteSpeed. На практике это означает подавляющее большинство сайтов в интернете: по сообщениям исследователей, рабочий эксплойт под именем «PHP2Shell» уже демонстрировался на WordPress, MediaWiki, phpBB, Magento, Joomla, Laravel, Symfony, Drupal и WHMCS — то есть на всех крупнейших CMS и фреймворках сразу. Патчи выпущены только для поддерживаемых веток 8.2–8.5; PHP 8.1 и более старые версии уже вышли из поддержки и официального исправления не получат — на них риск остаётся постоянным, пока сайт не переедет на поддерживаемую версию PHP.
Чем это грозит обычному пользователю
Прямой угрозы вашему устройству здесь нет — PHP работает на серверах, а не в вашем браузере. Но для вас как для посетителя сайта, интернет-магазина или форума на уязвимой CMS риск вполне реальный и косвенный: взломанный сайт — это открытая дверь к базе данных с email, паролями, платёжными данными и историей заказов всех его пользователей, в том числе ваших. Похожая логика была и во взломе хостинга FirstVDS через уязвимость VMmanager — когда страдает не лично пользователь, а инфраструктура, которой он пользуется, не подозревая об уязвимости.
Что делать
Если вы администрируете сайт на PHP — обновитесь до версии 8.5.12, 8.4.27, 8.3.36 или 8.2.35 (в зависимости от вашей ветки) немедленно, не дожидаясь планового окна обслуживания: с учётом утечки деталей рабочий эксплойт может появиться в любой момент. Если сайт работает на PHP 8.1 или старше — патча не будет, переезд на поддерживаемую версию становится приоритетом, а не «когда-нибудь».
Если вы заходите в панель управления сервером или хостингом удалённо — особенно из кафе, отеля или другого публичного Wi-Fi, чтобы срочно накатить патч, — используйте VPN: он не закрывает саму уязвимость PHP, но шифрует ваше соединение с панелью администратора, снижая риск перехвата логина и пароля на пути. LiMP VPN делает это на Android, Windows и в Chrome по политике no-logs — тарифы на странице цен.
Если вы просто пользователь сайта на уязвимой CMS — следить за новостями самого сервиса об инцидентах и, как после любой крупной утечки, проверить, не всплыли ли ваши данные в открытых базах, можно через сервисы из гайда о проверке утечки персональных данных.
Источники
Частые вопросы
Нужно ли мне как обычному пользователю что-то делать после этой новости?
Напрямую — нет, уязвимость в PHP затрагивает серверы, а не ваше устройство. Косвенно стоит проверить, не утекли ли ваши данные через сайт, который вы часто используете и который мог оказаться уязвимым, — через сервисы из гайда о проверке утечки персональных данных: /ru/blog/utechka-personalnyh-dannyh-proverka.
Защитит ли VPN мой сайт от этой уязвимости PHP?
Нет, VPN не исправляет уязвимость в коде PHP — единственная защита сайта это обновление до версии 8.5.12, 8.4.27, 8.3.36 или 8.2.35. VPN полезен отдельно — он шифрует ваше соединение, когда вы сами удалённо заходите в панель управления сервером через публичный Wi-Fi.
Что будет с сайтами на PHP 8.1 и более старых версиях, которые не получат патч?
Эти версии вышли из официальной поддержки, поэтому исправление для них не выпущено, и уязвимость на них остаётся открытой постоянно. Практический выход — обновить сайт до поддерживаемой ветки PHP (8.2 и новее), а не ждать отдельного патча, которого не будет.