Проект PHP выпустил экстренные обновления безопасности, устраняющие две критические уязвимости, которые позволяют злоумышленнику выполнить код на веб-сервере без входа в систему, и призвал всех пользователей обновиться немедленно.

PHP — один из самых распространённых языков программирования для веб-сайтов, на нём работают популярные системы управления контентом, например WordPress. Исправления вышли 21 октября в версиях PHP 8.5.12, 8.4.27, 8.3.36 и 8.2.35. Обновиться необходимо и операторам сайтов на PHP на Мальдивах.

Под угрозой находятся все установки PHP, обслуживающие веб-запросы, сообщила команда безопасности PHP, включая конфигурации с PHP-FPM, Apache с mod_php, php-cgi, FrankenPHP и LiteSpeed. Наибольший риск команда видит для mod_php: она продемонстрировала эксплойт, при котором один запрос от неавторизованного пользователя запускает атаку ещё до выполнения кода приложения.

Две уязвимости

  • CVE-2026-109618: если PHP исчерпывает память во время подготовки запроса, код очистки может принять частично подготовленные данные за корректные.

  • CVE-2026-109619: внутренние данные одного запроса могут сохраниться после освобождения памяти, и следующий запрос, обрабатываемый тем же процессом, может их использовать.

Обе уязвимости могут привести к удалённому выполнению кода, то есть злоумышленник может получить контроль над сервером.

Что делать

По словам команды PHP, полноценных мер защиты нет, и единственный безопасный вариант — обновление. Дистрибутивы Linux и поставщики долгосрочной поддержки получили исправления заранее, поэтому обновлённые пакеты должны быть доступны у них.

PHP 8.1 и более ранние версии больше не получают официальных обновлений. Из-за серьёзности проблемы команда безопасности опубликовала минимальные исправления исходного кода для PHP 7.4, 8.0 и 8.1 для тех, кто собирает PHP самостоятельно.

Для серверов, которые нельзя обновить сразу, команда перечисляет настройки, снижающие риск отдельных сценариев атаки, например отключение отслеживания загрузки в сессиях и уменьшение максимального размера запроса. При этом она подчёркивает, что такие меры не делают установку безопасной.

Исправления вошли и в тестовую версию будущего PHP 8.6 — RC4, вышедшую в тот же день.