PHP — один из самых распространённых языков программирования для веб-сайтов, на нём работают популярные системы управления контентом, например WordPress. Исправления вышли 21 октября в версиях PHP 8.5.12, 8.4.27, 8.3.36 и 8.2.35. Обновиться необходимо и операторам сайтов на PHP на Мальдивах.

Под угрозой находятся все установки PHP, обслуживающие веб-запросы, сообщила команда безопасности PHP, включая конфигурации с PHP-FPM, Apache с mod_php, php-cgi, FrankenPHP и LiteSpeed. Наибольший риск команда видит для mod_php: она продемонстрировала эксплойт, при котором один запрос от неавторизованного пользователя запускает атаку ещё до выполнения кода приложения.

Две уязвимости

  • CVE-2026-109618: если PHP исчерпывает память во время подготовки запроса, код очистки может принять частично подготовленные данные за корректные.

  • CVE-2026-109619: внутренние данные одного запроса могут сохраниться после освобождения памяти, и следующий запрос, обрабатываемый тем же процессом, может их использовать.

Обе уязвимости могут привести к удалённому выполнению кода, то есть злоумышленник может получить контроль над сервером.

Что делать

По словам команды PHP, полноценных мер защиты нет, и единственный безопасный вариант — обновление. Дистрибутивы Linux и поставщики долгосрочной поддержки получили исправления заранее, поэтому обновлённые пакеты должны быть доступны у них.

PHP 8.1 и более ранние версии больше не получают официальных обновлений. Из-за серьёзности проблемы команда безопасности опубликовала минимальные исправления исходного кода для PHP 7.4, 8.0 и 8.1 для тех, кто собирает PHP самостоятельно.

Для серверов, которые нельзя обновить сразу, команда перечисляет настройки, снижающие риск отдельных сценариев атаки, например отключение отслеживания загрузки в сессиях и уменьшение максимального размера запроса. При этом она подчёркивает, что такие меры не делают установку безопасной.

Исправления вошли и в тестовую версию будущего PHP 8.6 — RC4, вышедшую в тот же день.The PHP project has released emergency security updates for two critical vulnerabilities that can allow an attacker to run code on a web server without logging in, and has urged all users to update immediately.

PHP is one of the most widely used programming languages for websites, and powers popular content management systems such as WordPress. The fixes were published on 21 October in PHP 8.5.12, 8.4.27, 8.3.36 and 8.2.35. Website operators in the Maldives running PHP are among those who need to update.

All PHP installations serving web requests are at risk, the PHP security team said, including set-ups using PHP-FPM, Apache with mod_php, php-cgi, FrankenPHP and LiteSpeed. It considers the risk highest for mod_php, where it has demonstrated an exploit in which a single request from someone who has not logged in can trigger the attack before any application code runs.

The two flaws

  • CVE-2026-109618: if PHP runs out of memory part-way through setting up a request, cleanup code can treat half-prepared data as valid.

  • CVE-2026-109619: internal data belonging to one request can survive after its memory has been freed, and a later request handled by the same worker can use it.

Both can lead to remote code execution, which could give an attacker control of the affected server.

What to do

The PHP team says there are no complete mitigations and that updating is the only safe choice. Linux distributions and long-term support vendors received the patches in advance, so updated packages should be available from them.

PHP 8.1 and older no longer receive official updates. Because of the severity, the security team has published minimal source patches for PHP 7.4, 8.0 and 8.1 for those who build PHP themselves.

For servers that cannot be updated straight away, the team lists settings that reduce exposure to specific attack paths, such as turning off session upload progress and lowering the maximum request size. It stresses that these do not make an installation safe.

A test release of the upcoming PHP 8.6, RC4, published the same day, also contains the fixes.