Критические уязвимости PHP в октябре 2026: как защитить сайт

В октябре 2026 года в ядре PHP обнаружили две критические уязвимости — CVE-2026-109618 и CVE-2026-109619 с оценкой 9,2 из 10 по CVSS v4.0. Уязвимость PHP 2026 года позволяет злоумышленнику удаленно выполнить код на сервере без авторизации. Это RCE-уязвимость, которая создает прямой риск взлома сайта, утечки данных из памяти и простоя бизнеса.

Патчи безопасности PHP уже вышли: 8.5.12, 8.4.27, 8.3.36 и 8.2.35. Обновление PHP на сервере — основная мера защиты веб-приложений на «1С-Битрикс», WordPress и заказных PHP-решениях. Если ваш сайт работает на уязвимой версии — риск сохраняется до установки патча и перезапуска сервисов.

О проблеме сообщили разработчикам еще в августе-сентябре 2026 года. 20 октября анонсировали экстренный релиз, а патчи вышли 21 октября. Уязвимости позволяют получить доступ к конфиденциальным данным: паролям, токенам сессий, ключам доступа и сертификатам.

Что произошло с PHP

Обе уязвимости находятся в самом ядре PHP, а не в конкретной CMS или плагине. Одна из них возникает при нехватке памяти и позволяет выполнить код на сервере. Вторая связана с сохранением состояния между запросами и может приводить к утечке данных из памяти.

Среди потенциально раскрываемой информации — пароли, токены сессий, ключи доступа и сертификаты. Официальный анонс и список исправленных версий доступны в архиве PHP.

Масштаб проблемы для российского рынка значительный: по данным W3Techs, 90,9% русскоязычных сайтов используют PHP. Под удар попали WordPress, Drupal, Joomla, Magento и «1С-Битрикс».

21 октября в Европе после обнаружения уязвимостей временно отключили ряд сайтов государственных органов, больниц и других организаций — как меру предосторожности до устранения угрозы. Крупные российские хостинг-провайдеры начали предупреждать клиентов во второй половине дня 21 октября, а патчи появились около 17:00 по московскому времени.

Одну из уязвимостей выявили с помощью модели искусственного интеллекта GPT-5.6 Sol. Как отметил технический директор «Гарда WAF» Лука Сафонов в комментарии РБК, ИИ всё чаще находит ошибки, которые существовали годами:

«Искусственный интеллект в последнее время все чаще находит уязвимости, которые существовали годами и до сих пор просто не попадались на глаза. Появился инструмент, который умеет смотреть глубже и быстрее».

Почему обновления CMS недостаточно

Самое важное, что нужно понять: обновление «1С-Битрикс: Управление сайтом», WordPress или любого другого движка не закрывает уязвимость. Проблема — в серверном окружении, а не в CMS.

Это значит, что даже если вы обновили «1С-Битрикс» до последней версии, но сервер продолжает работать на уязвимой версии PHP — риск сохраняется. И наоборот: обновление PHP требует проверки совместимости с CMS, модулями и самописным кодом, иначе сайт может «отвалиться» после обновления.

Отдельный риск — устаревшие версии PHP. PHP ниже 7.4 и более ранние версии больше не получают обновлений безопасности от команды PHP. Если ваш сайт годами работает на старой версии, потому что «переход на 8+ может сломать модули», — это и есть та самая зона повышенного риска.

Как защитить сайт: базовые шаги

Начинать стоит с самого критичного — установки патча безопасности PHP, но останавливаться на этом нельзя. Ниже, базовый порядок действий, который помогает не просто формально обновиться, а действительно снизить риск взлома и утечки данных.

1. Обновите PHP до версии с исправлениями. Исправления вышли в PHP 8.5.12, 8.4.27, 8.3.36 и 8.2.35 — официальный анонс доступен по ссылке. Это основная мера защиты.
2. Учтите сложность обновления. Как отметил руководитель центра разработки больших языковых моделей MWS AI (МТС Web Services) Валентин Малых для РБК, сложность зависит от архитектуры ресурса: «Для сайтов с самостоятельно написанным кодом процедура может потребовать дополнительных работ, тогда как для блог-платформ многое зависит от оперативности разработчиков и владельцев инфраструктуры».
3. Перезапустите веб-сервер и фоновые обработчики. После установки патчей это обязательный шаг — иначе старый код может оставаться в памяти (OPcache, PHP-FPM workers) и уязвимость фактически не будет закрыта.
4. Проверьте сервер на признаки компрометации. Если сервер был доступен из интернета до выхода исправлений — проверьте логи, подозрительные процессы и изменения в файлах.
5. Смените пароли, ключи, токены и сертификаты. Вторая уязвимость как раз связана с утечкой данных из памяти — а значит, эти данные могли быть скомпрометированы.
6. Если обновиться пока невозможно — временно ограничьте доступ к ресурсу или используйте WAF (межсетевой экран для веб-приложений). Но помните: WAF эффективен только если злоумышленник не может обратиться к серверу напрямую, минуя фильтр.

Пять шагов после обновления, которые обычно пропускают

Обновить PHP — это половина дела. Вторая половина — то, что часто остается за кадром:
1. Перезапуск веб-сервера и фоновых обработчиков
Без этого старый уязвимый код продолжает работать из памяти. После установки патчей обязательно перезапустите PHP-FPM, веб-сервер и очереди.
2. Проверка SAPI
mod_php, PHP-FPM или php-cgi. Для mod_php риск в некоторых конфигурациях демонстративно выше, и это стоит явно проговорить.
3. Проверка признаков компрометации
Если сервер был открыт до 17:00 МСК 21 октября, стоит проверить логи и целостность файлов.
4. Ротация учетных данных
Пароли, токены, ключи доступа и сертификаты — все, что могло попасть в утечку данных из памяти.
5. План миграции на поддерживаемую версию PHP
Если сайт работает на 8.1 или более ранней версии, разовым патчем проблему не закрыть. Нужна плановая миграция с проверкой совместимости модулей.

Именно эти шаги отличают «формально обновились» от «реально закрыли риск».

Почему это не разовая история

Разовое обновление — не стратегия. Нужен регулярный контроль версий PHP, мониторинг обновлений безопасности и план миграции для устаревших инсталляций. Особенно если у вас несколько сайтов, заказные веб-приложения или личные кабинеты на PHP.

Как мы можем помочь

В «Дэвинс» мы более 10 лет занимаемся IT-обслуживанием и веб-разработкой, реализовали 300+ проектов, работаем с «1С», «Битрикс24» и заказными веб-приложениями. Мы знаем, где обычно «отваливаются» самописные модули при обновлении PHP, и как провести обновление без остановки бизнеса.

Что мы предлагаем:

• Экспресс-аудит — проверка версии PHP и SAPI, конфигурации сервера, признаков компрометации. Срок 1-2 дня.
• Обновление PHP с планом отката — проверка совместимости модулей и бизнес-логики, перезапуск сервисов, проверка логов.
• Пост-инцидентная проверка и ротация учетных данных — если сервер был доступен из интернета до патча.
• Выделенный PHP-специалист — для постоянного сопровождения, мониторинга обновлений безопасности и плановой миграции.
• Проектное обновление под ключ — если у вас несколько сайтов или сложное заказное приложение на PHP.

Почему «Дэвинс»:

• 10+ лет в IT-обслуживании и веб-разработке;
• 300+ реализованных проектов;
• работаем с WordPress, «1С-Битрикс: Управление сайтом», «Битрикс24» и заказными PHP-приложениями.

Что сделать прямо сейчас

Если ваш сайт работает на PHP и вы не уверены, что все закрыто, — начните с экспресс-аудита. Мы проверим версию PHP, конфигурацию сервера и признаки компрометации, а затем предложим план действий: обновление, миграцию или временные меры защиты.

Часто задаваемые вопросы