Критические уязвимости PHP: что проверить владельцам сайтов

21 октября 2026 года разработчики PHP выпустили исправления для двух критических уязвимостей: CVE-2026-109618 и CVE-2026-109619. При определённых условиях злоумышленник может использовать их для выполнения кода на сервере без авторизации. Информация об этих уязвимостях PHP актуальна для владельцев сайтов и веб-приложений.

Проверить сайт стоит как можно скорее. По данным Bitsight, как минимум одна компания уже воспроизвела эксплуатацию одной из уязвимостей в лабораторных условиях. Это не подтверждает начало реальных атак, но показывает, что проблема не ограничивается теоретическим риском. Чем дольше сервер остается без исправления, тем больше времени у злоумышленников на поиск способа использовать уязвимость.

В чём проблема

PHP обрабатывает запросы посетителей сайта, работает с базами данных и выполняет операции на сервере. В нём нашли две уязвимости PHP, связанную с ошибкой при работе с памятью. При определенных условиях они могут позволить злоумышленнику запускать код на уязвимом сервере без входа в систему.

Обе уязвимости получили оценку 9,2 из 10 по шкале CVSS v4.0. Идентификаторы уязвимостей — CVE-2026-109618 и CVE-2026-109619. В публикациях по теме используется название PHP2Shell.

Сам факт использования PHP не означает, что сайт уже взломан. Сначала нужно выяснить, уязвима ли ваша версия PHP, а затем установить исправление. 

Под прицелом все — от лендингов до крупных IT-платформ 

PHP может использоваться на разных типах проектов:

• корпоративных сайтах и сайтах услуг;

• интернет-магазинах;

• сайтах на WordPress и других CMS;

• веб-приложениях и клиентских порталах собственной разработки.

Проверьте, использует ли ваш сайт PHP, и уточните, установлено ли исправление для выявленных уязвимостей. 

Важный нюанс, о котором часто забывают: проверить нужно не только основной домен. Хакеры обожают заходить через «забытые» поддомены, старые тестовые версии сайтов или промо-страницы трехлетней давности, про которые все давно забыли.

Как проверить PHP и установить обновление

Для основных поддерживаемых веток PHP выпущены исправленные версии. Чтобы устранить уязвимости, необходимо установить подходящее обновление.

Перед установкой стоит проверить последние версии PHP и рекомендации поставщика, особенно если сайт работает на сборке от хостинг-провайдера или поставщика операционной системы.

Если сайт использует другую версию, уточните, какой пакет подходит для вашей конфигурации. Поставщики могут включать исправления в собственные пакеты, поэтому одного номера версии бывает недостаточно.

Обновление PHP можно согласовать с хостинг-провайдером или разработчиком сайта. В некоторых случаях хостер способен переключить версию самостоятельно. Но просто переключить PHP на новую версию получается не всегда. Старые модули или собственный код сайта могут оказаться несовместимыми, и тогда после обновления перестанут работать отдельные функции. Поэтому сначала нужно оценить совместимость, а затем проверить сайт после установки исправления. 

Если необходимо обновить PHP, после установки проверьте основные функции сайта: формы обратной связи, авторизацию, оформление заказов и интеграции, если они используются на проекте. Если обновление пока невозможно, обсудите с техническими специалистами временное ограничение доступа к уязвимой системе. Такая мера не заменяет установку исправления.

Что делать, если сайт обслуживает подрядчик

Если сайт находится на технической поддержке, запросите подтверждение, что специалисты проверили его и приняли необходимые меры. Не стоит считать, что исправление уже установлено, только потому, что сайт продолжает работать.

Подрядчику можно отправить такой запрос: «Просим проверить, использует ли наш сайт и связанные с ним веб-приложения PHP и затрагивают ли их уязвимости CVE-2026-109618 и CVE-2026-109619. Если требуется обновление, сообщите, какие работы необходимы и сколько времени они займут. После завершения работ просим подтвердить, что исправление установлено на рабочих серверах и основные функции сайта проверены.»

Что сделать сейчас

1. Проверьте версию PHP в панели хостинга или запросите ее у провайдера.

2. Уточните, установлены ли исправления для обеих уязвимостей PHP2Shell.

3. Проверьте связанные сайты и поддомены.

4. Если обновление необходимо, согласуйте его с техническими специалистами и проверьте работу сайта после установки.

Не откладывайте проверку: отсутствие видимых проблем не означает, что сайт защищен.

Нужна помощь с обновлением PHP?

Не всегда обновление PHP на сайте сводится к переключению версии на хостинге. Если сайт использует устаревшую CMS, модули или индивидуальный код, могут потребоваться дополнительные изменения. В таких случаях важно определить, какие доработки нужны и как они повлияют на работу проекта.

iMedia занимается разработкой и  технической поддержкой сайта на разных этапах его работы. Команда поможет оценить необходимые работы, адаптировать проект к новой версии PHP и проверить корректность его работы после обновления.

Нужно обновить PHP или адаптировать сайт к новой версии? Закажите техническую поддержку или доработку сайта в iMedia — поможем устранить технические проблемы и обеспечить корректную работу сайта.