Критическая уязвимость в PHP позволяет выполнять код без аутентификации

PHP обновляет версии 8.5.12, 8.4.27, 8.3.36 и 8.2.35

21 октября 2026 года PHP выпустил экстренные обновления для двух критических уязвимостей. Они позволяют неаутентифицированному злоумышленнику выполнять код через PHP-сервис, обрабатывающий трафик веб-сайтов. Уязвимости отслеживаются как CVE-2026-109618 и CVE-2026-109619. Каждой присвоен балл 9.2 из 10 по шкале CVSS v4.0. Эти уязвимости находятся в самом языке PHP, а не в WordPress, плагинах или темах. Обновление WordPress не устанавливает исправления. На большинстве общих хостингов PHP управляет провайдер. Владельцы собственных серверов или контейнеров должны обновлять PHP-пакет или образ самостоятельно. Исправления содержатся в версиях PHP 8.5.12, 8.4.27, 8.3.36 и 8.2.35. Дистрибутивы Linux и поставщики долгосрочной поддержки могут включать те же исправления в пакеты с более старыми номерами версий. После обновления необходимо перезапустить PHP, чтобы все запущенные процессы использовали новый код. Контейнеры следует пересобрать и развернуть из обновленного образа.

PHP распределяет трафик между серверами приложений

PHP — это язык программирования, на котором написан WordPress. Он работает на веб-сервере и обычно устанавливается и управляется хостинг-провайдером. Обновление WordPress не обновляет PHP. Уязвимости CVE-2026-109618 и CVE-2026-109619 позволяют удаленно выполнить код без аутентификации. Успешная эксплуатация дает злоумышленнику доступ к файлам, учетным данным и данным веб-сайта. Команда Wordfence Threat Intelligence подтвердила реальность риска. Тестирование показало, что для CVE-2026-109619 удалось выполнить код в специально сконфигурированной среде PHP, однако в стандартной сборке тот же тест приводил к сбою. Для CVE-2026-109618 уязвимая версия PHP 8.5.11 завершала работу при выполнении тестового запроса, тогда как исправленная версия 8.5.12 обрабатывала его нормально. В некоторых конфигурациях WordPress 7.1.3 с затронутым пакетом Ubuntu PHP 8.5.4 специально подготовленные запросы вызывали сбои или перезапуски PHP. Wordfence Firewall защищает уровень приложения WordPress. PHP, веб-сервер и операционная система работают вне WordPress и требуют собственных обновлений и защиты. Безопасность сайта WordPress зависит от совместной работы всех этих уровней.

Обновиться до 8.5.12, 8.4.27, 8.3.36 или 8.2.35

PHP 8.1 и старше больше не получают обновлений от проекта PHP. Некоторые поставщики операционных систем и долгосрочной поддержки могут добавлять исправления. Если вы используете старую ветку, получите ответ от поставщика или перейдите на поддерживаемую ветку PHP. Уязвимые версии PHP могут вести себя по-разному на разных серверах, но незащищенный сервер нельзя считать безопасным. Установите исправленный пакет PHP и перезапустите PHP. Для проверки версии PHP в WordPress перейдите в «Инструменты» > «Здоровье сайта» > «Сведения» > «Сервер». Не полагайтесь только на команду php -v в командной строке, так как сервер может использовать другую версию PHP для веб-сайтов. Поставщики Linux и хостинга могут добавлять исправления безопасности, не изменяя основной номер версии. Задайте вопрос хостинг-провайдеру или системному администратору: «Обновлен ли PHP-сервис, обслуживающий мой сайт, для устранения CVE-2026-109618 и CVE-2026-109619, и был ли перезапущен PHP?» Первые исправленные версии PHP — 8.5.12, 8.4.27, 8.3.36 и 8.2.35. После обновления проверьте версию PHP в «Здоровье сайта» и уточните полную ревизию пакета у хостинг-провайдера или поставщика образов. Сохраните резервные копии и журналы за 48 часов до 21 октября и до момента установки исправлений. Если PHP не был своевременно обновлен, проверьте журналы на наличие необычной активности и расследуйте подозрительные события. Отсутствие явных записей не доказывает, что эксплуатации не произошло.

Установить исправления и перезапустить PHP

Клиенты управляемого хостинга должны попросить хостинг-провайдера подтвердить установку обоих исправлений и перезапуск PHP. Операторы, управляющие серверами самостоятельно, должны обновить PHP, перезапустить Apache, PHP-FPM или другие PHP-сервисы, а также пересобрать контейнеры из обновленного образа. Агентства и хостинг-провайдеры должны проверить каждый сайт и окружение, включая staging-сайты и старые контейнеры. Если не удается установить исправление немедленно, рассмотрите временные рекомендации PHP. Они могут снизить уязвимость к определенным векторам атак, но не заменяют обновление. Wordfence Firewall защищает уровень приложения WordPress. Эти уязвимости затрагивают PHP на уровне сервера, и некоторые атаки могут начаться до запуска WordPress. Поэтому Wordfence рекомендует многоуровневую защиту: используйте Wordfence Firewall совместно с своевременными обновлениями и средствами контроля для PHP, веб-сервера, операционной системы и сетевого периметра. Для этих уязвимостей обновление и перезапуск PHP являются обязательными. Клиенты Wordfence Care и Wordfence Response могут связаться с командой реагирования на инциденты, если подозревают компрометацию сайта.