PHP: критическая дыра CVE-2026-109618, что проверить владельцу сайта

Что нашли и что подтверждено

В телеграм-канале новость пересказали с цифрами, которых я не нашёл в источниках. Объявление проекта лежит в новостях php.net, технические записи в GitHub: первая и вторая. Страницу OpenAI мой браузер не открыл (ответ 403), её содержание я сверял по пересказам.

Подтверждено. Первая уязвимость связана с нехваткой памяти: PHP может прерваться, пока внутренние данные запроса заполнены не до конца. Вторая с остаточным состоянием: данные прошлого запроса остаются в рабочем процессе, и следующий запрос может ими воспользоваться. Авторизация не нужна, код исполняется с правами веб-сервера. Под риском все способы запуска PHP: PHP-FPM, Apache с mod_php, php-cgi, FrankenPHP, LiteSpeed, выше всего у mod_php. Про Windows и Linux записи не уточняют.

Затронуты версии ниже:

• ветка 8.5: исправлено в 8.5.12;
• ветка 8.4: исправлено в 8.4.27;
• ветка 8.3: исправлено в 8.3.36;
• ветка 8.2: исправлено в 8.2.35.

Wiz пишет, что дыры есть почти во всех версиях за последнее десятилетие, вплоть до 5.4. Для 8.1 и старше проект официальных обновлений не выпускает. Общий разбор темы есть в отдельной статье.

Как узнать свою версию PHP

Панель хостинга. В ISPmanager, cPanel и похожих панелях версия указана в настройках сайта или в разделе PHP, там же её обычно можно переключить.

Админка CMS. WordPress: Инструменты, Здоровье сайта, вкладка «Информация», раздел «Сервер». Joomla: Система, Информация о системе. 1С-Битрикс: Настройки, Инструменты, Проверка системы. Названия зависят от версии.

Файл phpinfo. Создайте файл с одной строкой <?php phpinfo(); ?>, откройте его в браузере, найдите строку PHP Version и сразу удалите файл. Страница показывает пути и настройки.

Свой сервер. Команда php -v показывает консольный PHP, сайт может работать на другом.

Сравнивайте до последней цифры. Стоит 8.3.34, а нужно 8.3.36: сайт уязвим. На VPS с пакетами дистрибутива исправление иногда вносят без смены номера. php.net пишет, что дистрибутивы получили патчи заранее, так что спросите у поставщика пакетов.

OpenAI выложила проверяльщик php2shell-checker, лицензия Apache 2.0 по файлу LICENSE. Программа для Node.js читает версию из заголовков сайта или из php -v и отвечает OK, VULNERABLE или UNKNOWN. Если хостинг прячет версию, будет UNKNOWN, и по README это не значит «исправлено».

Хостинг не даёт выбор или версия снята с поддержки

Сверьте ветку с таблицей поддерживаемых версий. Исправления безопасности: для 8.2 до 31 декабря 2026, для 8.3 до 31 декабря 2027, для 8.4 до конца 2028, для 8.5 до конца 2029. Версии 8.1 и старше официальных обновлений не получают. Для 7.4, 8.0 и 8.1 проект выложил минимальные исправления в исходниках для тех, кто собирает PHP сам. Часть поставщиков LTS делает свои исправления.

Если выбор версии закрыт, спросите поддержку хостинга: какая версия PHP на моём тарифе, внесено ли исправление от 21 октября, когда можно перейти на 8.3 или 8.4. Ответ «нет» означает смену тарифа или хостинга.

Временные настройки в записи php.net есть, например отключение session.upload_progress.enabled. Проект пишет, что они снижают риск лишь по отдельным путям. Их ставит администратор сервера.

К кому идти. К хостингу, если дело в версии на сервере. К подрядчику, если после смены что-то сломалось. Ко мне, если подрядчика нет.

Порядок обновления и проверка на взлом

1. Бэкап файлов и базы отдельно от сайта. Если восстановление не пробовали, прочитайте про проверку копий.

2. Тестовая копия на поддомене, версию PHP переключайте там. Старая тема или плагин могут не работать на новом PHP, лучше увидеть это на копии.

3. Прогон на копии: форма заявки, корзина, оформление заказа, оплата в тестовом режиме, личный кабинет, письма, выгрузка в 1С, вход в админку.

4. Боевой сайт в тихое время, те же проверки. Откат возможен: вернуть прежнюю версию в панели. Он возвращает и уязвимость, поэтому это лишь пауза на время починки.

5. Признаки взлома. Wiz называет такие: необычные многочастные запросы с ошибками памяти и повторяющимися ответами 500, слишком длинные или битые cookie PHPSESSID, перезапуски процессов PHP. Из общего: новые администраторы, незнакомые PHP-файлы в папках загрузок и кэша, неизвестные задачи cron, рассылка спама, чужие редиректы. Нашли? Откройте статью про взлом сайта.

Wiz предупреждает и об утечке памяти процесса, где бывают пароли и ключи API. Если сайт стоял без обновления, смените пароли базы, админки, почты и ключи платёжной системы.

Чек-лист из 7 пунктов

1. Выписать версию PHP каждого сайта.
2. Сверить с 8.5.12, 8.4.27, 8.3.36 и 8.2.35.
3. Спросить хостинг письменно: исправление внесено, когда переключение.
4. Сделать свежий бэкап и проверить, что он разворачивается.
5. Обновить PHP на копии, пройти формы, заказ, оплату.
6. Обновить боевой сайт, удалить файлы phpinfo, сменить ключи и пароли.
7. Проверить файлы и журналы на следы взлома, записать срок конца поддержки своей ветки.

Что в пересказе не подтвердилось

«Больше десяти лет». Срок существования ошибки в доступных мне материалах не назван. Wiz говорит о версиях за десятилетие, Fortune (вторичный источник) о четырнадцати годах.

«Пять этапов согласований между мейнтейнерами». По пересказам OpenAI это пять стадий предлагаемого регламента: исправление, подготовка хостингов и дистрибутивов, госорганы, обновления, публичные рекомендации. Это предложение, не принятый стандарт. «Около двух месяцев» OpenAI называет сама, по хронологии Wiz отчёт ушёл в PHP 24 августа, а публично всё раскрыто 21 октября.

Эксплуатация. Wiz и Unit 42 в день раскрытия атак не подтверждали, Unit 42 видела демонстрационный код. Fortune со ссылкой на Cloudflare и AWS пишет о множестве попыток, это вторичная передача. Сведения расходятся, считайте, что попытки идут.

Данных по Битриксу у меня нет. Wiz показывал атаки на WordPress, Drupal и Joomla в тестовых образах.

Что можно сделать уже сейчас

Сегодня выпишите версию PHP каждого сайта и напишите хостингу.

Возьмите один сайт, лучше не самый нагруженный, и пройдите на нём весь порядок как пилот. Запишите, что сломалось. Остальные сайты пойдут по готовому списку. Дальше повторяйте обход раз в месяц, как в статье про ежемесячный IT-обход.

В услуге «Кибербезопасность» я проверяю версии, готовлю копию, переключаю PHP, прогоняю формы и оплату и ищу следы взлома. Условия обсуждаем, когда увижу ваши сайты.

Частые вопросы

Нужно ли отключать сайт до обновления?

php.net просит обновляться немедленно. Остановка сайта решение владельца. Если обновление будет в ближайшие часы, хватит заглушки.

Хватит ли Cloudflare или плагина безопасности?

Нет. Запись GitHub называет обновление единственным полным решением. Фильтры на входе отсекают часть запросов, а Cloudflare, по пересказам, сам называет свои правила временной мерой.

Коротко о главном

Две критические уязвимости PHP закрыты в версиях 8.5.12, 8.4.27, 8.3.36 и 8.2.35, версии 8.1 и старше официальных исправлений не получают. Порядок: версия, бэкап, копия, боевой сайт, проверка на следы взлома.

Хотите, чтобы я посмотрел ваши сайты, сверил версии и составил план обновления? Напишите мне в Telegram слово «ЗАПЛАТКА», и я скажу, с какого сайта начать.