PHP готовит срочное исправление двух опасных уязвимостей. ЕС советует отключать сайты

PHP используется в огромном количестве сайтов и веб-приложений. На нем работают WordPress, Drupal, Joomla, Magento и множество других систем. Поэтому предупреждение разработчиков затрагивает не только крупные компании, но и владельцев обычных сайтов, интернет-магазинов и небольших серверов.

20 октября команда PHP опубликовала внеплановое уведомление о двух критических проблемах безопасности. Для обеих указан уровень опасности 9,2 по шкале CVSS 4.0. Выпуск исправлений назначен на 21 октября, 14:00 UTC, что соответствует 17:00 по московскому времени.

Столь раннее предупреждение связано с риском раскрытия подробностей до выхода исправлений. Разработчики допустили возможность досрочной публикации обновлений, если появятся сведения об использовании уязвимостей в реальных атаках.

Особенно тревожной выглядит предполагаемая возможность удаленного выполнения кода без предварительной авторизации. При таком сценарии злоумышленник может отправить специально подготовленный запрос и заставить сервер выполнить посторонние команды.

В обсуждениях фигурируют обозначения CVE-2026-109618 и CVE-2026-109619, а также название PHP2Shell. Однако на момент предварительного уведомления разработчики PHP еще не опубликовали официальное техническое описание, перечень затронутых версий и условия эксплуатации. Поэтому сведения о конкретном механизме атаки пока нельзя считать окончательно подтвержденными.

Европейская служба CERT-EU выпустила отдельное предупреждение. Организация рекомендует заранее определить все серверы и приложения, использующие PHP, подготовить обновление и установить его сразу после выхода.

Если быстро обновить сервер невозможно, предлагается временно ограничить публичный доступ к уязвимым приложениям. Речь не об обязательном отключении всех сайтов на PHP, а о защитной мере для систем, которые действительно находятся под угрозой и не могут получить исправление вовремя.

В этом случае временная недоступность сайта может оказаться менее серьезной проблемой, чем возможная компрометация сервера и хранящихся на нем данных.

Отдельного внимания заслуживают сайты на WordPress. Обновление самой CMS, тем или плагинов не заменяет обновления интерпретатора PHP. Это разные компоненты программной среды, и исправление одного из них не устраняет автоматически уязвимость в другом.

Если сайт размещается на виртуальном хостинге, установкой новых версий PHP обычно занимается провайдер. Владельцу сайта имеет смысл проверить используемую версию и уточнить, когда хостинг планирует применить исправление. На собственном VPS или выделенном сервере за обновление отвечает администратор.

Понадобится также проверка совместимости. Обновление PHP может затронуть работу старых расширений и приложений, поэтому перед установкой желательно иметь резервную копию и возможность быстро проверить основные функции сайта.

При этом установка исправлений не обязательно означает переход на совершенно новую основную версию PHP. Конкретные исправленные сборки и порядок обновления должны быть указаны в официальном сообщении разработчиков.

На момент публикации предварительного предупреждения подтвержденных массовых атак с использованием этих уязвимостей не было. Но высокий уровень опасности и вероятность утечки технических подробностей объясняют, почему разработчики решили предупредить администраторов заранее.

Ситуация отличается от обычного планового обновления: PHP лежит в основе работы сайта, а значит, потенциальная проблема не ограничивается отдельной темой оформления или плагином. После выхода исправлений администраторам потребуется проверить именно версию PHP на сервере, независимо от того, какая CMS на нем установлена.