PHP 8.2–8.5: критические уязвимости, которые нельзя игнорировать

Пришло уведомление об обновлении PHP — две критические уязвимости (CVE-2026-109618, CVE-2026-109619) позволяют запускать произвольный код на сервере без авторизации. Повреждение происходит на этапе обработки запроса, до запуска любого кода приложения. Патчи вышли 21 октября, но атаки уже начались до их выхода.

Это не уязвимость в WordPress, Drupal или CMS — это в PHP-движке самой платформы. Любая установка, где PHP обрабатывает веб-запросы (mod_php, PHP-FPM, LiteSpeed), в зоне риска. Уязвимости затрагивают все версии с 5.4, включая 8.1 и старше, но патчей для 8.1 и ниже нет — CISA рекомендует их отключить. Основные риски: обход проверок, повышение привилегий, выполнение кода с правами веб-сервера.

Считаю, что главный риск — не в том, что уязвимость уже эксплуатируют, а в том, что она доступна в устаревших системах, которые никто не обновляет. Даже если сайт «чист» — он может быть заражён через PHP. На мой взгляд, ожидать, пока появятся публичные случаи, — это игра с огнём. Патч — единственный полный выход. Остальное — временные меры.

Уже начал проверять версии у клиентов. У тех, у кого PHP 8.2–8.5, поставил обновление в план на неделю. Для всех, кто не может обновиться — проверяю, есть ли возможность временно отключить доступ извне. Старые версии 8.1 и ниже — в списке для отключения. Пока не вижу смысла в WAF или отключении сессий: это не замена обновлению. Главное — не ждать, пока появится подтверждённый взлом.