21 октября 2026 года разработчики PHP выпустили внеплановые версии 8.5.12, 8.4.27, 8.3.36 и 8.2.35, которые устраняют две критические ошибки под общим названием PHP2Shell. Для многих компаний это хороший повод провести аудит IT-инфраструктуры: PHP нередко работает там, о чём в офисе давно забыли.
Что именно нашли в PHP
Ошибкам присвоены номера CVE-2026-109618 и CVE-2026-109619. Первая возникает, когда запрос исчерпывает лимит памяти в неудачный момент: служебные структуры остаются заполненными наполовину, а на этапе завершения запроса интерпретатор продолжает с ними работать как с исправными. Вторая связана с фатальной ошибкой, после которой процесс-обработчик сохраняет ссылку на уже освобождённую память и может использовать её при следующем запросе. Итог в обоих случаях один: посторонний человек без логина и пароля может запустить свой код на сервере.
По данным команды PHP, затронуты все установки, которые обрабатывают веб-запросы: PHP-FPM, Apache с mod_php, php-cgi, FrankenPHP и LiteSpeed. Опаснее всего вариант Apache с mod_php, где атака срабатывает ещё до запуска кода самого сайта. Настройки лишь сужают отдельные пути атаки, по-настоящему закрывает проблему только обновление. Ветки 8.1 и более ранние проект уже не сопровождает. Американское агентство CISA в тот же день выпустило предупреждение и призвало организации установить исправления без промедления.
Почему это важно для компаний в Беларуси
PHP — это не только сайт на WordPress. На нём часто построены интернет-магазин, личный кабинет клиента, система заявок, внутренний портал, а также веб-интерфейсы сетевых хранилищ и другого оборудования. Часто такой сервис когда-то настроил подрядчик, и сейчас никто не знает его версию. CISA отдельно советует составить перечень всех систем с PHP, потому что он часто встроен в готовые продукты и снаружи незаметен.
На виртуальном хостинге пакеты обычно обновляет провайдер, но версию PHP в панели выбирает владелец. На своём сервере или VPS это задача ваша или подрядчика.
Аудит IT-инфраструктуры: что сделать в ближайшие дни
Найти все места, где работает PHP
Перечислите сайты, поддомены, тестовые копии, порталы и устройства с веб-интерфейсом. Для каждого пункта запишите версию и ответственного.
Обновить или временно закрыть
Установите исправленные версии или пакеты от поставщика вашего дистрибутива Linux. То, что нельзя обновить сразу, временно уберите из открытого доступа.
Поискать следы взлома
Проверьте журналы веб-сервера, новые файлы на сайте и незнакомые учётные записи.
С такой инвентаризации начинается аудит IT-инфраструктуры в ITS: мы описываем оборудование, серверы и программы, находим устаревшие компоненты и передаём отчёт с рисками и приоритетами. О похожей ситуации с системой управления сайтом мы рассказывали в новости про обновление WordPress 7.1.3. Следить за состоянием серверов постоянно помогает услуга мониторинга.
Источник: бюллетень безопасности PHP от 21.10.2026; см. также предупреждение CISA.
Вопросы и ответы
Как узнать версию PHP на нашем сайте?
Её показывает панель управления хостингом, а на собственном сервере — команда php -v. Если доступа нет, запросите данные у подрядчика или напишите нам на support@its.by.
Можно ли обойтись без обновления?
Нет. Разработчики PHP подчёркивают, что дополнительные настройки только уменьшают число путей атаки, а надёжное решение одно — исправленная версия.
Нужно ли останавливать работу компании на время аудита?
Нет. Обследование проходит без остановки работы сотрудников, а итоговый отчёт остаётся у вас.