В SELECTOS устранили две критические уязвимости PHP

В ядре интерпретатора PHP обнаружены две критические уязвимости с оценкой 9,2/10 баллов по CVSS 4.0. Обновление — единственное решение для закрытия уязвимостей. И в SELECTOS уже выпущены исправления. Рассказываем, как применить актуальные патчи.

Подробнее об уязвимостях
Эксплуатация новых уязвимостей позволяет удаленно выполнять произвольный код на сервере без аутентификации. Общее название — PHP2Shell.

• CVE-2026-109618 — ошибка обработки нехватки памяти (OOM), которая может привести к повреждению внутреннего состояния PHP и выполнению произвольного кода.
• CVE-2026-109619 — ошибка управления глобальным состоянием, при которой PHP может обратиться к уже освобожденной памяти (use-after-free). Это также создает возможность удаленного выполнения кода.

PHP2Shell подвержены все версии PHP, ниже 8.2.35, 8.3.36, 8.4.27, 8.5.12. В том числе сайты, приложения и популярные CMS на базе PHP, среди которых — WordPress, Drupal, OpenCart, 1С-Битрикс, а также фреймворки вроде Laravel.

Разработчики PHP опубликовали параметры конфигурации, которые снижают риски отдельных сценариев эксплуатации. Однако обновление — единственное решение для закрытия уязвимости. В SELECTOS уже выпущены исправления для обеих версий системы: SELECTOS Hele — для PHP 8.3 и 8.4; SELECTOS Mega — для PHP 8.2. Актуальные патчи доступны в репозиториях.

Как применить исправления
Перед обновлением убедитесь, что настроены репозитории соответствующей версии SELECTOS, и проверьте предложенный APT список изменений. Подробная инструкция — в документации SELECTOS.

Шаг 1. Обновите список доступных пакетов:

sudo apt update

Шаг 2. Если вы используете SELECTOS Hele — обновите используемую версию PHP.
PHP 8.3:

sudo apt install --only-upgrade '*php8.3*'

PHP 8.4:

sudo apt install --only-upgrade '*php8.4*'

Команды позволяют обновить установленные пакеты соответствующей ветки PHP без перехода на другую версию.

В случае использования SELECTOS Mega введите команду для обновления PHP 8.2:

sudo apt install --only-upgrade '*php8.2*'

Если вы устанавливали определенный пакет, то достаточно выполнить следующие команды:

sudo apt update
sudo apt upgrade -y

В результате обновятся только установленные версии пакетов без перехода на новую мажорную версию.

После установки обновлений рекомендуем перезапустить службы, использующие PHP, чтобы в памяти не остался старый код.

https://selectel.ru