Критические уязвимости в PHP / Critical PHP vulnerabilities

Если на вашем сервере работают сайты на PHP (WordPress, Joomla, OpenCart, MODX и другие), просим как можно скорее обновить PHP.

21 октября разработчики PHP сообщили о двух критических уязвимостях (CVE-2026-109618 и CVE-2026-109619, оценка 9,2 из 10). Через них злоумышленник может удаленно и без авторизации выполнить свой код на вашем сервере.

Под угрозой любой необновленный PHP, который обрабатывает веб-запросы: Apache с mod_php, PHP-FPM, php-cgi, FrankenPHP и LiteSpeed.

Как защититься
Обновите PHP до версии 8.2.35, 8.3.36, 8.4.27, 8.5.12 или новее либо установите исправленный пакет вашего дистрибутива.

Уязвимости находятся в самом PHP, поэтому обновления WordPress и плагины безопасности их не закрывают.

Что рекомендуем сделать
1. Обновите PHP.
Ubuntu: sudo apt update && sudo apt upgrade
Проверка: dpkg -l | grep php
Ubuntu 24.04: php8.3 8.3.6-0ubuntu0.24.04.13
Ubuntu 22.04: php8.1 8.1.2-1ubuntu2.28
Другие дистрибутивы: через пакетный менеджер.
Панели (ISPmanager, FASTPANEL, HestiaCP): исправленная сборка PHP в панели.

2. Перезапустите веб-сервер или PHP-FPM, чтобы точно работала новая версия, например sudo systemctl restart apache2 или sudo systemctl restart php8.3-fpm.

3. Проверьте сервер и сайты на следы взлома: незнакомые учетные записи администраторов, новые PHP-файлы (особенно в папке загрузок), странные редиректы, новые задачи cron, системные пользователи и SSH-ключи, которые вы не добавляли. Если что-то нашли, восстановите данные из резервной копии, сделанной до взлома, и смените все пароли.

Если обновить PHP прямо сейчас нельзя, временно снизить риск можно настройкой memory_limit = -1 и небольшим post_max_size, например 16M, с перезапуском PHP после изменения. Учтите, что -1 снимает ограничение памяти и один процесс может занять всю память сервера. Эта мера закрывает не все варианты атаки и не заменяет обновление.

Команда SpaceCore
Техническая поддержка

///

If your server runs PHP websites (WordPress, Joomla, OpenCart, MODX or similar), please update PHP as soon as possible.

On October 21, the PHP project disclosed two critical vulnerabilities (CVE-2026-109618 and CVE-2026-109619, rated 9.2 out of 10). They allow an attacker to run their own code on your server remotely and without authentication.

Any unpatched PHP that handles web requests is at risk: Apache with mod_php, PHP-FPM, php-cgi, FrankenPHP and LiteSpeed.

How to fix it
Update PHP to 8.2.35, 8.3.36, 8.4.27, 8.5.12 or later, or install the patched package from your distribution.

The vulnerabilities are in PHP itself, so WordPress updates and security plugins do not fix them.

What we recommend
1. Update PHP.
Ubuntu: sudo apt update && sudo apt upgrade
Check: dpkg -l | grep php
Ubuntu 24.04: php8.3 8.3.6-0ubuntu0.24.04.13
Ubuntu 22.04: php8.1 8.1.2-1ubuntu2.28
Other distributions: use your package manager.
Control panels (ISPmanager, FASTPANEL, HestiaCP): install the fixed PHP build in the panel.

2. Restart your web server or PHP-FPM to make sure the new version is running, for example sudo systemctl restart apache2 or sudo systemctl restart php8.3-fpm.

3. Check your server and sites for signs of compromise: unknown administrator accounts, new PHP files (especially in the uploads folder), unexpected redirects, new cron jobs, system users or SSH keys you did not add. If you find anything, restore your data from a backup made before the compromise and change all passwords.

If you cannot update PHP right away, you can temporarily reduce the risk by setting memory_limit = -1 and a low post_max_size, such as 16M, then restarting PHP. Keep in mind that -1 removes the memory limit, so a single process can use up all of the server's memory. This measure does not block every attack path and does not replace the update.

SpaceCore Team
Technical Support