Selectel дата-центры

В ядре интерпретатора PHP обнаружены две критические уязвимости с оценкой 9,2/10 баллов по CVSS 4.0. Обновление — единственное решение для закрытия уязвимостей. И в SELECTOS уже выпущены исправления. Рассказываем, как применить актуальные патчи.

Подробнее об уязвимостях
Эксплуатация новых уязвимостей позволяет удаленно выполнять произвольный код на сервере без аутентификации. Общее название — PHP2Shell.

• CVE-2026-109618 — ошибка обработки нехватки памяти (OOM), которая может привести к повреждению внутреннего состояния PHP и выполнению произвольного кода.
• CVE-2026-109619 — ошибка управления глобальным состоянием, при которой PHP может обратиться к уже освобожденной памяти (use-after-free). Это также создает возможность удаленного выполнения кода.

PHP2Shell подвержены все версии PHP, ниже 8.2.35, 8.3.36, 8.4.27, 8.5.12. В том числе сайты, приложения и популярные CMS на базе PHP, среди которых — WordPress, Drupal, OpenCart, 1С-Битрикс, а также фреймворки вроде Laravel.

Разработчики PHP опубликовали параметры конфигурации, которые снижают риски отдельных сценариев эксплуатации. Однако обновление — единственное решение для закрытия уязвимости. В SELECTOS уже выпущены исправления для обеих версий системы: SELECTOS Hele — для PHP 8.3 и 8.4; SELECTOS Mega — для PHP 8.2. Актуальные патчи доступны в репозиториях.

Как применить исправления
Перед обновлением убедитесь, что настроены репозитории соответствующей версии SELECTOS, и проверьте предложенный APT список изменений. Подробная инструкция — в документации SELECTOS.

Шаг 1. Обновите список доступных пакетов:

sudo apt update

Шаг 2. Если вы используете SELECTOS Hele — обновите используемую версию PHP.
PHP 8.3:

sudo apt install --only-upgrade '*php8.3*'

PHP 8.4:

sudo apt install --only-upgrade '*php8.4*'

Команды позволяют обновить установленные пакеты соответствующей ветки PHP без перехода на другую версию.

В случае использования SELECTOS Mega введите команду для обновления PHP 8.2:

sudo apt install --only-upgrade '*php8.2*'

Если вы устанавливали определенный пакет, то достаточно выполнить следующие команды:

sudo apt update
sudo apt upgrade -y

В результате обновятся только установленные версии пакетов без перехода на новую мажорную версию.

После установки обновлений рекомендуем перезапустить службы, использующие PHP, чтобы в памяти не остался старый код.

https://selectel.ru

В ядре интерпретатора PHP обнаружены две критические уязвимости (9,2/10 баллов по CVSS 4.0) с идентификаторами CVE-2026-109618 и CVE-2026-109619. Общее название — PHP2Shell.

Эксплуатация уязвимости может привести к удаленному выполнению произвольного кода (RCE), несанкционированному доступу к информации, нарушению функционирования системы, а также использованию вашего сервера в проведении компьютерных атак.

Уязвимостям подвержены все версии PHP, ниже 8.2.35, 8.3.36, 8.4.27, 8.5.12. В том числе сайты, приложения и популярные CMS на базе PHP, среди которых — WordPress, Drupal, OpenCart, 1С-Битрикс, а также фреймворки вроде Laravel. Уязвим сам интерпретатор PHP, поэтому обновление любого из перечисленных приложений проблему не решает.

Появилась информация о первых попытках эксплуатации уязвимости. Эксплойт показан в действии на веб-серверах с WordPress, MediaWiki, phpBB, Magento, Joomla, Laravel, Symfony, Drupal и WHMCS.

Разработчики PHP опубликовали параметры конфигурации, которые снижают риски отдельных сценариев эксплуатации. Однако обновление — единственное решение для закрытия уязвимости.
www.php.net/archive/2026.php#2026-10-21-5

Что нужно сделать
1. Обновите версию PHP. Уязвимость устранена в сборках 8.2.35, 8.3.36, 8.4.27, 8.5.12. Дефекты не могут быть устранены средствами прикладного кода — исправление возможно только путем обновления PHP на сервере. Компенсирующие меры помогают только от некоторых векторов атак.
2. Перезапустите сервисы: PHP-FPM или веб-сервер, обработчики очередей и Apache с mod_php, чтобы в памяти не остался старый код.
3. Проверьте установленную версию с помощью команд php -v и php-fpm-<ВЕРСИЯ> -v.
4. Проверьте систему на признаки взлома. После обновления убедитесь в отсутствии посторонних файлов, изучите журналы событий и, при необходимости, смените пароли, ключи и токены.

Если предпринять необходимые меры невозможно, то изолируйте сервер и ограничьте к нему доступ из интернета.

Команда Selectel.

На текущий момент создание бакетов S3 хранилища закрыто во всех пулах.

Мы будем открывать возможность создания бакетов по мере появления достаточного объёма ресурсов в пулах.

https://selectel.ru

Сегодня резервное копирование — это основа непрерывности бизнеса. И гарантом того, что будет обеспечена максимальная сохранность и доступность данных остается правило «3-2-1». Это значит, что как минимум одна резервная копия должна храниться на независимой площадке.

Мы разделяем этот подход и рекомендуем клиентам дублировать критически важные данные во внешний контур — например, на собственную локальную площадку или инфраструктуру другого провайдера. Это гарантирует максимальную сохранность и доступность данных, но требует действий от вас.

Внутренние механизмы Selectel защищают ваши проекты от локальных аппаратных сбоев, а создание внешней копии сделает хранение данных надежнее.

Подробнее о том, как организовать резервное копирование в Selectel, вы найдете в документации.
docs.selectel.ru/security-guide/backups/

Команда Selectel

Обновили Пользовательское соглашение Selectel.

В разделе 6 «Ограничение ответственности» уточнены условия ограничения ответственности Исполнителя, а также положения об обстоятельствах, при которых Исполнитель не несет ответственности за убытки Заказчика.

В разделе 8 «Обстоятельства непреодолимой силы» дополнили перечень таких обстоятельств, а также упростили порядок прекращения действия Соглашения при длительном воздействии таких обстоятельств.

С новой редакцией Пользовательского соглашения можно ознакомиться по ссылке: selectel.ru/about/documents/user-agreement/