На серверах віртуального хостингу оновлено PHP — усунено дві критичні вразливості PHP, що отримали позначення CVE-2026-109618 та CVE-2026-109619 (у публікаціях дослідників відомі під спільною назвою PHP2Shell). 21 жовтня 2026 року команда PHP випустила термінові патчі, і того ж дня оновлення було застосовано на наших серверах.
Обидві вразливості отримали оцінку 9,2 бала з 10 за шкалою CVSS v4.0 і за певних умов дозволяють віддалене виконання довільного коду на сервері без авторизації — тобто зловмиснику не потрібно знати пароль чи мати обліковий запис на сайті.
Зміст
У чому полягає небезпека вразливостей PHP CVE-2026-109618 та CVE-2026-109619?
Обидві проблеми закладені в самому ядрі PHP, а не в коді конкретного сайту чи плагіна. Це означає, що під загрозою опинялися сайти на WordPress, WooCommerce, OpenCart, Joomla, Magento та будь-якій іншій CMS — навіть якщо власний код сайту повністю оновлений і без вразливостей.
CVE-2026-109618 — пошкодження пам’яті під час обробки нестачі доступної пам’яті (out-of-memory). Коли PHP переривається в момент, коли внутрішні дані запиту ще не повністю ініціалізовані, механізм очищення може прийняти ці непослідовні дані за коректні. За окремими даними, ця вразливість також могла призводити до витоку фрагментів пам’яті сервера (за аналогією з відомою вразливістю Heartbleed) — у теорії це могло розкривати паролі, токени сесій чи інші дані з попередніх запитів інших клієнтів на тому самому воркері.
CVE-2026-109619 — вразливість типу Use-After-Free, тобто використання пам’яті після її звільнення. Внутрішній стан, пов’язаний із запитом, міг «переживати» звільнення власної пам’яті, і наступний запит на тому самому PHP-воркері міг звернутися до вже недійсних даних до завершення штатної ініціалізації.
Під загрозою — усі поширені способи запуску PHP: PHP-FPM, Apache mod_php, php-cgi, LiteSpeed та FrankenPHP.
Які версії PHP виправлено
21 жовтня 2026 року о 14:00 UTC PHP випустив офіційні релізи з виправленнями:
| Гілка PHP | Виправлена версія |
|---|---|
| PHP 8.5 | 8.5.12 |
| PHP 8.4 | 8.4.27 |
| PHP 8.3 | 8.3.36 |
| PHP 8.2 | 8.2.35 |
Що зробили ми
Ми оновили PHP на серверах віртуального хостингу до виправлених версій одразу після виходу офіційних патчів. Клієнтам віртуального хостингу нічого додатково робити не потрібно — захист від CVE-2026-109618 та CVE-2026-109619 на рівні серверного середовища вже діє.
Поширені запитання
Чи вплинуло оновлення на роботу сайтів? Оновлення PHP на серверах віртуального хостингу відбулося в штатному режимі, без відчутних для клієнтів перерв у роботі сайтів.
Чи потрібно оновлювати плагіни чи CMS окремо? Вразливості стосуються самого PHP, а не CMS. Втім, ми традиційно рекомендуємо вчасно оновлювати CMS, теми й плагіни та регулярно створювати резервні копії сайту.
Ми продовжуємо стежити за оновленнями безпеки PHP та іншого серверного програмного забезпечення й оперативно застосовуємо критичні патчі на всіх серверах віртуального хостингу.