PHP: две критические уязвимости, обновление 21 октября

Прочитал у Patchstack, что в PHP выявили две критические уязвимости — CVE-2026-109618 и CVE-2026-109619, обе оценены как Critical (CVSS 9.2). Уязвимость позволяет злоумышленнику выполнить произвольный код на сервере, если сайт работает на уязвимой версии PHP. Атаки уже идут — о них сообщили хостинги. Затрагивает все сайты на PHP: WordPress, Drupal, Laravel и другие, особенно если используют устаревшие версии. Единственный полноценный выход — обновление до нового релиза, который выйдет 21 октября 2026 года в 14:00 UTC. Пока что можно лишь отключить session.upload_progress, но это не снимает рис

Считаю, что это не просто «обновление», а смена парадигмы: до сих пор считал, что PHP — это стабильная база, а уязвимости — в фреймворках. Теперь понял: если в интерпретаторе есть уязвимость, то всё, что на нём работает, в зоне риска. Особенно тревожит, что атаки уже идут — это не теория. Я уже начал проверять, какие версии PHP используются у клиентов. У кого-то ещё стоит 7.4, у кого-то — 8.1. Все, кто не на последней версии, — в зоне риска.

На мой взгляд, важно не просто «обновить», а проверить, где именно используется PHP: на сервере, в контейнере, в тестовой среде. Часто забывают про staging-сайты. И ещё: отключение session.upload_progress — это не защита, а временная мера. Даже если она сработает, она не уберёт уязвимость, а только замедлит атаку. Риск остаётся. И если у клиента на сайте уже есть заражение, то обновление PHP не поможет — нужно сначала вычистить вредоносный код, иначе он вернётся.

С завтрашнего дня приступлю к проверке всех сайтов, где используется PHP. Сначала — резервная копия, потом — проверка версии. У тех, кто на старых версиях, сразу начну обсуждать план перехода. У тех, кто на актуальных, — проверю, не было ли подозрительных изменений в коде. И пока жду релиза 21 октября, буду отслеживать, когда хостинги обновят. Уже начал писать напоминания в чаты с клиентами.