Критические уязвимости PHP: что делать владельцам сайтов
БЕЗОПАСНОСТЬ САЙТОВ
Разбираем простыми словами, кого касается предупреждение, как понять, находится ли ваш сайт под угрозой, и какие действия помогут снизить риск.
23 октября 2026 года
Главное
- Это общее предупреждение для владельцев сайтов на PHP. Оно не означает, что конкретный сайт уже взломан.
- Проверка актуальна для проектов на «1С-Битрикс», WordPress и других CMS, работающих на PHP.
- Обновление CMS, модулей и плагинов не заменяет обновление PHP.
- Перед обновлением необходимо создать резервную копию и проверить совместимость сайта.
- Исправления выпущены в PHP 8.2.35, 8.3.36, 8.4.27 и 8.5.12.
Что произошло
21 октября 2026 года разработчики PHP сообщили о двух критических уязвимостях — CVE-2026-109618 и CVE-2026-109619 — и выпустили исправления. При успешной атаке эти уязвимости могут позволить злоумышленнику выполнить код на сервере без авторизации.
PHP — серверное программное обеспечение, на котором работают многие сайты и веб-приложения. Оно обрабатывает запросы к сайту и выполняет программный код на сервере.
Исправленные версии PHP
8.2.35, 8.3.36, 8.4.27 и 8.5.12. Необходимо установить один из этих или более поздний выпуск соответствующей ветки.
PHP 8.1 и более ранние ветки больше не получают регулярные обновления безопасности от проекта PHP. Для них отдельные поставщики серверного ПО могут выпускать собственные исправления, но их наличие нужно проверять отдельно.
Дополнение от 23 октября. Разработчики PHP также рекомендуют администраторам временно отключить функцию session.upload_progress до следующего планового обновления. Рекомендация связана с редким сочетанием настроек и кода; безопасно менять конфигурацию следует только после проверки проекта.
Кого касается предупреждение
Проверка необходима, если сайт или веб-приложение использует PHP. Это касается в том числе проектов на:
- «1С-Битрикс»;
- WordPress;
- других CMS и фреймворках на PHP;
- индивидуально разработанном PHP-коде.
Сам факт получения предупреждения не означает, что сайт уже взломан. Чтобы определить реальный риск для конкретного проекта, нужно проверить установленную версию PHP, способ работы сервера и наличие исправлений от поставщика операционной системы или хостинга.
Что может произойти при успешной атаке
В зависимости от конфигурации сервера злоумышленник потенциально может:
- получить доступ к сайту и размещённым на сервере данным;
- изменить или удалить информацию;
- внедрить вредоносный код;
- нарушить работу сайта или полностью вывести его из строя;
- использовать скомпрометированный ресурс для дальнейших атак.
Проверку лучше не откладывать. При этом самостоятельно менять настройки сервера без резервной копии и проверки совместимости тоже не стоит.
Что нужно сделать
- Проверить текущую версию PHP и конфигурацию сервера.
- Уточнить, установлено ли исправление от поставщика серверного ПО.
- Оценить совместимость CMS, модулей и индивидуального кода с новой версией PHP.
- Создать резервную копию файлов сайта и базы данных.
- Установить исправленную версию PHP или пакет безопасности от поставщика.
- Проверить работу сайта после обновления: формы, загрузку файлов, личный кабинет, оплату и интеграции.
Важно установить не просто «PHP 8.2 или новее», а исправленный выпуск соответствующей ветки: PHP 8.2.35, 8.3.36, 8.4.27, 8.5.12 или более поздний выпуск той же ветки.
После обновления проверьте формы, личные кабинеты, интеграции и резервные копии. Подробный список проверок есть в нашем чек-листе приёмки сайта.
Почему нельзя просто переключить версию PHP
На современном сайте обновление часто проходит без заметных последствий. Но старые версии CMS, сторонние модули, шаблоны и индивидуальные доработки могут быть несовместимы с новым PHP.
Поэтому перед переключением версии важно проверить совместимость и подготовить резервную копию. Если после обновления обнаружатся ошибки, это позволит быстро восстановить работу сайта и отдельно определить, какие компоненты требуют адаптации.
Будет ли сайт доступен во время работ
В большинстве случаев сайт остаётся доступным основную часть времени. Короткий технический перерыв может понадобиться при переключении версии PHP и проверке результата.
Продолжительность зависит от состояния проекта. Если сайт давно не обновлялся или содержит много сторонних модулей и индивидуальных доработок, может потребоваться дополнительная адаптация. Необходимость перерыва и порядок работ лучше согласовать заранее.
Как поможет F5
Специалисты F5 могут провести работы под ключ:
- проверить PHP и конфигурацию сервера;
- оценить совместимость сайта;
- создать резервную копию;
- установить обновление;
- проверить формы, загрузку файлов, личный кабинет, оплату и интеграции;
- подготовить технические рекомендации для хостинг-провайдера или системного администратора.
Объём, сроки и стоимость зависят от текущей версии PHP, состояния CMS, даты последних обновлений и индивидуальных доработок. После первичной проверки мы сообщим оценку и согласуем работы до их начала.
Пример из практики F5 поэтапного подхода
Коротко в слайдах
Сохранили основные ответы в наглядном формате.
Частые вопросы
Это общее предупреждение или проблема уже обнаружена на нашем сайте?
Это общее предупреждение. Оно не подтверждает наличие взлома или уязвимости на конкретном сайте. Ответить точно можно после проверки версии PHP и конфигурации сервера.
Насколько реальна угроза для нашего сайта?
Риск зависит от версии PHP и серверной конфигурации. Если используется уязвимая версия без исправления, угроза реальна. Для точной оценки нужно проверить конкретный сайт и сервер.
Нужно ли обновлять CMS и плагины?
Обновление CMS, модулей и плагинов не заменяет обновление PHP. Но оно может потребоваться для совместимости сайта с исправленной версией PHP.
Сколько времени займут работы?
Срок зависит от состояния проекта. Проверка и стандартное обновление проходят быстрее, а старому сайту со сторонними модулями и индивидуальным кодом может потребоваться дополнительная адаптация. Точную оценку можно дать после первичной проверки.
Будет ли сайт недоступен?
Обычно сайт остаётся доступным большую часть времени. Иногда требуется короткий технический перерыв при переключении версии и проверке. Его необходимость и время согласовываются заранее.
Нужна проверка сайта?
Напишите нам и укажите адрес сайта. Мы уточним, где он размещён и как обслуживается сервер, после чего предложим безопасный порядок действий.
Источник: официальный бюллетень PHP.
