Обновлено: 22 октября 2026 года. Проект PHP выпустил экстренные обновления для двух критических уязвимостей — CVE-2026-109618 и CVE-2026-109619. Это не история о том, что «сломался весь интернет», но повод быстро проверить сервер для владельцев и администраторов сайтов вполне реальный. Главное: обновлять нужно среду PHP на хостинге или сервере, а не только WordPress, тему или плагин.
Что произошло
21 октября команда PHP сообщила об исправлениях для двух уязвимостей с риском удалённого выполнения кода без авторизации. Простыми словами: при определённых условиях злоумышленник может отправить специально подготовленный запрос и добиться запуска своего кода на сервере — ещё до того, как сайт успеет обработать обычную логику приложения.
Проблема касается PHP-установок, которые принимают веб-запросы: PHP-FPM, Apache с mod_php, php-cgi, FrankenPHP и LiteSpeed. Это не уязвимость WordPress как CMS: потенциально затронут любой сайт или веб-приложение, работающее на соответствующей версии PHP и конфигурации.
Официальные исправления вышли в версиях PHP 8.5.12, 8.4.27, 8.3.36 и 8.2.35. В бюллетене PHP обе уязвимости оценены в 9,2 балла по CVSS v4.0 — высокий уровень риска, который не стоит оставлять «на ближайшее техобслуживание».
Почему это важно
Уязвимость на уровне интерпретатора PHP находится ниже сайта, темы и плагинов. Поэтому обновление WordPress, WooCommerce, конструктора страниц или защитного плагина само по себе не закрывает CVE-2026-109618 и CVE-2026-109619. Эти обновления по-прежнему полезны, но здесь лечить нужно именно PHP на сервере.
Для обычного посетителя сайта самостоятельных действий нет: не требуется обновлять телефон, браузер или приложение. Действовать должны владелец сайта, администратор либо хостинг-провайдер, если инфраструктура управляемая.
Коротко: что сделать владельцу сайта
- Узнать, какая версия PHP используется сайтом.
- Обновить её до PHP 8.5.12, 8.4.27, 8.3.36 или 8.2.35 — с учётом поддерживаемой ветки и совместимости проекта.
- Перед сменой версии сделать резервную копию файлов сайта и базы данных.
- После обновления проверить главную страницу, вход в админку, форму заказа или обратной связи, оплату и критичные интеграции.
- Если сервером управляет хостинг, запросить у поддержки подтверждение установки исправлений для обоих CVE.
Пошаговая инструкция
Шаг 1. Проверьте версию PHP. В WordPress откройте Инструменты → Здоровье сайта → Информация → Сервер. В строке версии PHP будет указана фактическая версия, на которой выполняется сайт. Во многих панелях хостинга эти сведения доступны также в разделах вроде «Настройки PHP», «Версия PHP», «PHP Selector» или «Параметры сайта» — названия зависят от провайдера.
Шаг 2. Сопоставьте версию с исправленными релизами. Безопасный ориентир из объявления PHP: 8.5.12, 8.4.27, 8.3.36 либо 8.2.35 и более новые патч-релизы в тех же поддерживаемых ветках. Если вы видите, например, PHP 8.3.35, это ещё не исправленная версия.
Шаг 3. Сделайте бэкап. Сохраните отдельно файлы сайта и экспорт базы данных. На управляемом хостинге проверьте, что резервная копия действительно завершилась и понятен способ восстановления. Не меняйте рабочую версию PHP вслепую в разгар продаж: старый плагин или самописная интеграция может оказаться несовместимой с новой веткой.
Шаг 4. Обновите PHP или напишите в поддержку. Если в панели есть переключатель версии, выберите подходящую исправленную версию и примените изменения. На VPS или выделенном сервере обновление пакетов и перезапуск PHP-FPM должен выполнять администратор по документации используемой ОС и панели управления.
Для хостинга достаточно конкретного обращения: «Подтвердите, пожалуйста, версию PHP для домена [домен] и установлены ли исправления для CVE-2026-109618 и CVE-2026-109619». Такой запрос лучше, чем расплывчатое «у вас всё безопасно?».
Шаг 5. Протестируйте сайт. Откройте главную и несколько внутренних страниц, войдите в административную панель, отправьте тестовую форму, проверьте корзину, оформление заказа, письма и внешние сервисы. Если после переключения версии появилась ошибка 500, не редактируйте файлы наугад: вернитесь к резервной копии или прежней версии, зафиксируйте текст ошибки и передайте его разработчику либо поддержке.
Если обновить прямо сейчас не получается
PHP подчёркивает, что полной мерой защиты является обновление. Временные ограничения, настройки лимитов, отключение отдельных функций и правила WAF могут снизить риск отдельных сценариев, но не делают уязвимую установку полностью безопасной.
Для критичных сайтов разумно временно ограничить доступ к несущественным публичным сервисам и согласовать меры с хостингом или системным администратором. Не копируйте случайные фрагменты конфигурации из форумов: настройки PHP и веб-сервера способны нарушить загрузку файлов, формы, сессии или работу магазина. Если сайт работает на устаревшей ветке и обновление нельзя подготовить быстро, вопрос временного отключения публичного доступа следует решать с ответственным администратором, а не надеяться на один WAF.
На что обратить внимание со старыми версиями
PHP 8.1 и более старые ветки больше не получают штатные обновления безопасности от проекта PHP. У некоторых LTS-дистрибутивов и хостингов могут быть собственные бэкпорты исправлений: внешне версия может выглядеть старой, но пакет уже содержать патч. Это нельзя предполагать — нужно уточнить у поставщика ОС или хостинга, включены ли исправления именно для CVE-2026-109618 и CVE-2026-109619.
Проект PHP также опубликовал минимальные исходные бэкпорты для веток 7.4, 8.0 и 8.1, чтобы помочь тем, кто собирает PHP самостоятельно или не имеет пакетов от LTS-поставщика. Для большинства владельцев сайтов это не инструкция к самостоятельной сборке: безопаснее перейти на поддерживаемую ветку с помощью администратора.
Частые ошибки
- «Я обновил WordPress — значит, всё закрыто». Нет: эти CVE находятся в PHP, а не в ядре WordPress.
- «Хостинг наверняка обновился сам». Возможно, но это нужно проверить по версии или подтверждению поддержки.
- «Поставлю WAF и отложу патч». WAF — полезный временный барьер, но не замена обновлению PHP.
- «Переключу PHP без резервной копии». Даже корректный патч может выявить старую несовместимость сайта.
- «Обновлю PHP для одного домена и забуду о других». На одном аккаунте версии и настройки могут различаться для каждого сайта.
Что пока неизвестно
Официальное сообщение подтверждает критичность проблемы и исправленные версии, но само по себе не означает компрометацию конкретного сайта. Без данных мониторинга и расследования нельзя утверждать, что ресурс уже был атакован. Владельцу сайта стоит проверить журналы веб-сервера и уведомления хостинга, однако отсутствие заметной ошибки не доказывает отсутствие попыток эксплуатации.
FAQ
Нужно ли срочно обновлять WordPress?
Для устранения именно этих двух CVE — нет. WordPress рекомендует обновить PHP; обычные обновления CMS и плагинов выполняйте по своему графику безопасности.
Где посмотреть PHP в WordPress?
Откройте «Инструменты → Здоровье сайта → Информация → Сервер» и найдите строку с версией PHP.
Мой сайт на хостинге, доступа к настройкам PHP нет. Что делать?
Напишите в поддержку и попросите подтвердить установленную версию и наличие патчей для CVE-2026-109618 и CVE-2026-109619.
Затрагивает ли это iPhone, Android или компьютер посетителя?
Нет, речь идёт о серверной среде PHP, которая обслуживает сайты и веб-приложения.
Можно ли остаться на PHP 8.1?
Только если поставщик ОС или хостинг письменно подтверждает бэкпорт исправлений. В долгосрочной перспективе лучше спланировать переход на поддерживаемую ветку.