Обновление PHP затрагивает любой сайт, который принимает веб-запросы на этой платформе. 21 октября 2026 года команда PHP выпустила исправления для двух критических уязвимостей. По данным PHP, удалённый злоумышленник мог использовать их без входа в систему. Владельцу сайта стоит сегодня попросить хостинг или подрядчика проверить каждую рабочую среду и подтвердить установку исправления.
Выпуск закрывает уязвимости CVE-2026-109618 и CVE-2026-109619. Исправленные версии веток с поддержкой: PHP 8.5.12, 8.4.27, 8.3.36 и 8.2.35. Для пакетов Linux и долгосрочной поддержки номер версии может отличаться: поставщик может перенести исправление в свой пакет. Поэтому сверяйте не только цифры в панели, но и пакет или официальное подтверждение провайдера.
Обновление PHP: составьте список сайтов и сред
Проверьте основной сайт, посадочные страницы, тестовые копии, личные кабинеты и небольшие сервисы на общем хостинге. Для каждого домена подрядчик должен указать, где запускается PHP, какая там ветка и кто отвечает за обновление.
Такой список помогает не пропустить забытый сайт. Например, маркетинговая команда могла оставить старую копию посадочной страницы после кампании, а она продолжает работать на том же сервере.
Обновление PHP: подтвердите установленное исправление
Передайте подрядчику номера уязвимостей и попросите подтвердить один из вариантов: установлен выпуск с исправлением PHP или поставщик системы выпустил пакет с обратным переносом исправления. Попросите указать название пакета и дату установки. Если провайдер управляет платформой, достаточно его письменного подтверждения с перечнем затронутых сайтов и сред.
PHP 8.1 и более старые ветки уже не получают исправлений от самого проекта PHP. Некоторые Linux-дистрибутивы и провайдеры долгосрочной поддержки выпускают для них собственные исправления. Уточните это у поставщика. Если он не поддерживает вашу ветку, согласуйте переход на поддерживаемую версию.
После обновления PHP проверьте ключевые действия клиентов
До начала работ согласуйте резервную копию, время обновления, ответственного и порядок возврата, если сайт перестанет работать. После установки проверьте вход в личный кабинет, формы, оплату, загрузку файлов и интеграции, которыми пользуются клиенты или сотрудники.
Зафиксируйте результат в короткой карточке: домен, среда, установленная версия или пакет, дата, подтверждение поставщика и проверенные действия. Назначьте человека, который проверит ошибки сайта после работ. Это снижает риск, что одна из копий останется без исправления или проблема при обновлении останется незамеченной.
Если установить исправление сразу нельзя, попросите специалиста проверить временные меры из рекомендаций PHP именно для вашей конфигурации. Проект PHP предупреждает, что такие меры уменьшают риск отдельных сценариев, но не делают систему безопасной и не заменяют исправление.
Что сделать сегодня
Отправьте хостингу список доменов и попросите проверить каждую среду PHP. Начните с сайтов, через которые клиенты входят в аккаунт, отправляют данные, загружают файлы или оплачивают заказ. Сохраните ответ провайдера и назначьте ответственного за проверку сайта после обновления.
Если своей технической команды нет, профильный подрядчик может провести инвентаризацию, согласовать окно работ и проверить основные действия на сайте. Команда МИК помогает с аудитом и сопровождением сайтов. Обновление снижает риск этих конкретных уязвимостей, но не гарантирует защиту от всех угроз.
