Критическая уязвимость PHP: что случилось и что сделать владельцу сайта

1. Что случилось
2. В чём суть уязвимостей
3. Кого это касается
4. Что сделать
5. Если обновиться сразу нельзя
6. Как мы обновили серверы клиентов

Что случилось

20 октября 2026 года в соцсетях появились подробности о двух уязвимостях в самом PHP. На этом языке работают 1С-Битрикс, WordPress и множество других сайтов. Раскрыть детали планировали 22 октября, но из-за утечки команда PHP выпустила исправления на день раньше, 21 октября.

Уязвимости получили номера CVE-2026-109618 и CVE-2026-109619 и оценку 9,2 из 10 по шкале CVSS. Обе позволяют без логина и пароля выполнить на сервере чужой код. Это значит, что злоумышленник может получить доступ к файлам сайта и базе данных: подменить страницы, украсть данные клиентов, разослать спам от имени компании.

Атаки начались почти сразу. Исследователи из компании watchTowr фиксируют их с 21 октября, а 26 октября американское агентство кибербезопасности CISA внесло обе уязвимости в свой каталог уязвимостей, которые активно используют злоумышленники.

В чём суть уязвимостей

Если упростить, ошибок две.

1. Сбой при нехватке памяти (CVE-2026-109618). Если запрос исчерпает лимит памяти в неудачный момент, PHP прерывает работу, а при уборке после запроса обращается к данным, которые не успел подготовить. Для атаки достаточно отправить на сайт специально собранную форму. На серверах с Apache и mod_php атака срабатывает ещё до того, как запустится код сайта.
2. «Хвосты» прошлого запроса (CVE-2026-109619). Один процесс PHP обслуживает много запросов подряд. Из-за ошибки часть служебных данных предыдущего запроса остаётся доступной, когда его память уже освобождена, и следующий запрос натыкается на них. Одна из подтверждённых схем атаки использует отслеживание прогресса загрузки файлов, а оно включено в PHP по умолчанию.

Обе ошибки находятся в самом PHP, а не в CMS. Поэтому неважно, на чём сделан сайт: на 1С-Битрикс, WordPress или самописном движке. Обновление ядра Битрикса здесь не поможет, обновлять нужно PHP на сервере.

Кого это касается

Уязвимы все версии PHP, кроме исправленных:

• PHP 8.5: исправлено в версии 8.5.12;
• PHP 8.4: исправлено в версии 8.4.27;
• PHP 8.3: исправлено в версии 8.3.36;
• PHP 8.2: исправлено в версии 8.2.35;
• PHP 7.4, 8.0 и 8.1: официальных выпусков нет, есть только исправленные пакеты от дистрибутивов Linux и патчи для сборки из исходников;
• PHP 7.3 и старше: исправлений нет, нужен переход на новую версию.

Сильнее всего рискуют серверы, где PHP работает как модуль Apache (mod_php): для них рабочая атака подтверждена. Так устроено стандартное окружение 1С-Битрикс (BitrixVM), на котором работает много сайтов на Битриксе. Связка nginx и PHP-FPM защищена лучше, но не полностью: вторая уязвимость подтверждена и для неё.

Кроме того, 31 декабря 2026 года PHP 8.2 перестанет получать исправления безопасности. Если сайт работает на 8.2 или более старой версии, переход на новую стоит запланировать уже сейчас.

Что сделать

1. Узнайте версию PHP. В админке 1С-Битрикс она указана в разделе «Настройки → Инструменты → Диагностика → Настройки PHP», в панели хостинга обычно в настройках сайта.
2. Обновите PHP до исправленной версии своей ветки и перезапустите Apache или PHP-FPM. Без перезапуска сервер продолжит работать на старой версии, которая уже загружена в память.
3. Если сайт на виртуальном хостинге, проверьте, обновил ли PHP хостер. Если версия ниже исправленной, напишите в его поддержку.
4. Если сервер не обновляли после 21 октября, проверьте, нет ли следов взлома: новых PHP-файлов в папке upload, незнакомых администраторов, новых заданий в планировщике cron.

Если обновиться сразу нельзя

Команда PHP советует временные меры. Они снижают риск, но не заменяют обновление:

• отключить отслеживание прогресса загрузки: session.upload_progress.enabled=0 в php.ini или настройках пула PHP-FPM (не через ini_set() и не в .user.ini), затем перезапустить PHP;
• на PHP 8.5 выключить fatal_error_backtraces;
• уменьшить post_max_size и ограничить размер запросов на веб-сервере.

Как мы обновили серверы клиентов

Клиентам на поддержке ничего делать не пришлось: мы оперативно обновили PHP на их серверах сами, не дожидаясь обращений. В этом и смысл поддержки: мы следим за безопасностью серверов и сайтов и берёмся за такие задачи сразу, а не ставим их в общую очередь.

Если ваш сайт не на поддержке и вы не уверены, что PHP на сервере обновлён, посмотрите, как устроена наша поддержка, или оставьте заявку: проверим версию PHP и настройки сервера.

Источники: новости php.net от 21 и 23 октября, описания уязвимостей CVE-2026-109618 и CVE-2026-109619, каталог CISA.