Экстренное обновление безопасности: устранение критической уязвимости в PHP

21 октября 2026 года команда разработки PHP выпустила экстренное сообщение о двух критических уязвимостях в ядре интерпретатора (CVE-2026-109618 и CVE-2026-109619) с оценкой 9.2 из 10 по шкале CVSS.

Уязвимости относятся к классу RCE (удаленное выполнение кода) — хакеры могут использовать их для взлома сайтов (WordPress, Битрикс и др.) и получения контроля над сервером. Пожалуйста, ознакомьтесь с информацией ниже в зависимости от типа ваших услуг:

1. Если вы используете наш Виртуальный хостинг (Web-hosting)
Вам ничего делать не нужно. Ваши сайты уже в безопасности.
Наша служба Техподдержки оперативно отреагировала на угрозу. На всех серверах веб-хостинга мы централизованно и принудительно отключили уязвимый параметр:
session.upload_progress.enabled = Off

• Для версий PHP 8.2, 8.3, 8.4 — это временная мера до выхода официальных обновлений безопасности от разработчиков PHP. Как только патчи выйдут, мы установим их незаметно для вашей работы.
• Для архивных версий PHP 8.1 и ниже — этот параметр останется выключенным на постоянной основе, так как старые версии больше не поддерживаются создателями PHP и не получат обновлений.

Для 99% сайтов это изменение пройдет абсолютно незаметно, базовая загрузка картинок и файлов работает в штатном режиме.

2. Если вы используете Виртуальный сервер (VPS / VDS)
На виртуальных серверах администрированием занимаетесь вы сами, поэтому вам необходимо применить защитные меры вручную прямо сейчас.
Что нужно сделать:
1. Зайдите в вашу панель управления сервером (например, ISPmanager) под пользователем root.
2. Перейдите в раздел Настройки PHP (или Альтернативные версии PHP).
3. Для каждой установленной версии PHP зайдите в настройки и измените значение параметра session.upload_progress.enabled с On на Off (обязательно для всех режимов: Apache, CGI, FPM).
4. Сохраните изменения. Панель автоматически перезапустит службы, и защита активируется.

Если вы используете сервер без панели управления, откройте конфигурационные файлы php.ini вручную, пропишите session.upload_progress.enabled = Off и перезапустите службу php-fpm или веб-сервер.

С уважением,
Служба техподдержки вашего хостинг-провайдера