Критические уязвимости PHP: обновления для CVE-2026-109618 и CVE-2026-109619
Две уязвимости среды выполнения PHP могут привести к удалённому выполнению кода без входа в систему. Проверьте все веб-службы с PHP и установите исправленную версию или пакет поставщика.
Что произошло
21 октября 2026 года проект PHP выпустил исправления двух критических уязвимостей, допускающих удалённое выполнение кода. CVE-2026-109618 связана с повреждением памяти при её исчерпании. CVE-2026-109619 позволяет использовать состояние запроса после освобождения занятой им памяти. Уязвимости находятся в самой среде выполнения PHP, поэтому проверки приложения и его дополнений недостаточно.
Какие системы проверить
Найдите все установки PHP, обрабатывающие веб-запросы: PHP-FPM, Apache mod_php, php-cgi, FrankenPHP и LiteSpeed. Проверьте также готовые программные комплексы и устройства со встроенным PHP. Проект PHP считает mod_php наиболее рискованным вариантом: подтверждённый сценарий атаки запускается запросом без аутентификации ещё до выполнения кода приложения.
Что делать
Обновите поддерживаемую ветку до PHP 8.5.12, 8.4.27, 8.3.36 или 8.2.35 либо установите пакет поставщика с перенесёнными исправлениями. PHP 8.1 и более ранние версии больше не поддерживаются проектом в обычном порядке. Узнайте у поставщика дистрибутива или продукта о поддерживаемом исправлении либо запланируйте обновление. После установки проверьте версию, которую действительно использует каждая веб-служба или контейнер, а не только версию пакета на основном сервере.
В дополнительном сообщении от 23 октября проект PHP рекомендовал установить session.upload_progress.enabled=0 до следующего планового выпуска с исправлениями, чтобы закрыть другой редкий сценарий. Эта мера дополняет обновление безопасности, но не заменяет его.
