PHP закрив дві критичні вразливості з віддаленим виконанням коду: які версії ставити

PHP Project попередив про реліз за день, а 21 жовтня опублікував деталі. Обидві вразливості, CVE-2026-109618 і CVE-2026-109619, отримали 9,2 бала з 10 за CVSS 4.0 — рівень critical.

Що сталося

Перша помилка пов'язана з нестачею пам'яті: PHP може перерватися, поки внутрішні дані запиту заповнені лише частково, а потім прийняти їх за коректні. Друга — із «залишками» попередніх запитів: внутрішній стан, пам'ять якого вже звільнено, може дістатися наступному запиту в тому самому процесі.

Наслідок в обох випадках однаковий: віддалене виконання коду без авторизації.

Кого стосується

За словами розробників, під загрозою всі інсталяції PHP, які обслуговують вебзапити: PHP-FPM, Apache з mod_php, php-cgi, FrankenPHP і LiteSpeed. Найвищий ризик — у mod_php: для нього вже показали робочий експлойт, який спрацьовує від неавторизованого запиту ще до запуску коду сайту.

Тож проблема в самому PHP, а не в конкретній CMS. WordPress, Laravel, OpenCart чи будь-який інший рушій на вразливій версії захищений рівно настільки, наскільки захищений PHP під ним. Водночас за оцінкою CVSS атака складна й потребує певних умов: наявність PHP ще не означає, що сайт гарантовано можна зламати.

Що робити

Виправлені версії — 8.2.35, 8.3.36, 8.4.27 і 8.5.12. Повних обхідних заходів, за словами розробників, немає: безпечний варіант лише один — оновлення. Гілки 8.1 і старіші стандартних виправлень від PHP Project уже не отримують, патчі для них можуть дати дистрибутиви та постачальники розширеної підтримки. А 8.2 отримуватиме безпекові оновлення лише до 31 грудня 2026 року.

VPS чи власний сервер. Адміністратор встановлює безпекове оновлення PHP і перевіряє, що сайт працює.

Спільний хостинг. Оновити саму збірку PHP власник сайту зазвичай не може. Варто перевірити повідомлення хостера або спитати підтримку, чи встановлено патч. Вибір іншої версії PHP у панелі керування ще не означає, що ця збірка вже виправлена.

Резервна копія перед змінами не завадить, але від віддаленого виконання коду вона не захищає.