На серверах виртуального хостинга обновлён PHP — устранены две критические уязвимости PHP, получившие обозначения CVE-2026-109618 и CVE-2026-109619 (в публикациях исследователей известны под общим названием PHP2Shell). 21 октября 2026 года команда PHP выпустила срочные патчи, и в тот же день обновление было применено на наших серверах.
Обе уязвимости получили оценку 9,2 балла из 10 по шкале CVSS v4.0 и при определённых условиях позволяют удалённое выполнение произвольного кода на сервере без авторизации — то есть злоумышленнику не требуется ни пароль, ни учётная запись на сайте.
Содержание
В чём опасность уязвимостей PHP CVE-2026-109618 и CVE-2026-109619?
Обе проблемы заложены в самом ядре PHP, а не в коде конкретного сайта или плагина. Это значит, что под угрозой оказались сайты на WordPress, WooCommerce, OpenCart, Joomla, Magento и любой другой CMS — даже если собственный код сайта полностью обновлён и не содержит уязвимостей.
CVE-2026-109618 — повреждение памяти при обработке нехватки доступной памяти (out-of-memory). Когда PHP прерывается в момент, когда внутренние данные запроса ещё не полностью инициализированы, механизм очистки может принять эти некорректные данные за валидные. По отдельным данным, эта уязвимость также могла приводить к утечке фрагментов памяти сервера (по аналогии с известной уязвимостью Heartbleed) — теоретически это могло раскрывать пароли, токены сессий и другие данные из предыдущих запросов других клиентов на том же воркере.
CVE-2026-109619 — уязвимость типа Use-After-Free, то есть использование памяти после её освобождения. Внутреннее состояние, связанное с запросом, могло «переживать» освобождение собственной памяти, и следующий запрос на том же PHP-воркере мог обратиться к уже недействительным данным до завершения штатной инициализации.
Под угрозой — все распространённые способы запуска PHP: PHP-FPM, Apache mod_php, php-cgi, LiteSpeed и FrankenPHP.
Какие версии PHP исправлены
21 октября 2026 года в 14:00 UTC PHP выпустил официальные релизы с исправлениями:
| Ветка PHP | Исправленная версия |
|---|---|
| PHP 8.5 | 8.5.12 |
| PHP 8.4 | 8.4.27 |
| PHP 8.3 | 8.3.36 |
| PHP 8.2 | 8.2.35 |
Что сделали мы
Мы обновили PHP на серверах виртуального хостинга до исправленных версий сразу после выхода официальных патчей. Клиентам виртуального хостинга ничего дополнительно делать не нужно — защита от CVE-2026-109618 и CVE-2026-109619 на уровне серверной среды уже действует.
Частые вопросы
Повлияло ли обновление на работу сайтов? Обновление PHP на серверах виртуального хостинга прошло в штатном режиме, без ощутимых для клиентов перерывов в работе сайтов.
Нужно ли обновлять плагины или CMS отдельно? Уязвимости касаются самого PHP, а не CMS. Тем не менее мы традиционно рекомендуем своевременно обновлять CMS, темы и плагины, а также регулярно делать резервные копии сайта.
Мы продолжаем следить за обновлениями безопасности PHP и другого серверного программного обеспечения и оперативно применяем критические патчи на всех серверах виртуального хостинга.