🚨 Критическая уязвимость PHP

В PHP обнаружили две критические уязвимости - CVE-2026-109618 и CVE-2026-109619, известные под общим названием PHP2Shell.

Они позволяют злоумышленнику без авторизации выполнить произвольный код на уязвимом сервере. Потенциально затронуты около 70% сайтов в интернете, использующих PHP. После публичного раскрытия информации об уязвимостях специалисты по безопасности сообщили о попытках атак.

🇷🇺 А что в России?
Около 50 000 потенциально уязвимых PHP-веб-приложений: WordPress, Joomla, Drupal, самописные сайты и интернет-магазины. Первые попытки атак уже зафиксированы.

Что необходимо сделать?

ℹ️ Обновите PHP

Установите исправленную версию:
• PHP 8.5.12
• PHP 8.4.27
• PHP 8.3.36
• PHP 8.2.35

После обновления перезапустите PHP-FPM, чтобы новые процессы использовали исправленную версию.

Если PHP установлен из репозитория операционной системы, номер версии может отличаться. В этом случае ориентируйтесь на обновления безопасности для Вашего дистрибутива - Ubuntu, Debian или другого.

⚠️ Обратите внимание: для PHP 8.1 и более старых версий официальных исправлений нет. Такие проекты следует перевести на актуальную ветку PHP.

ℹ️ Если прямо сейчас обновить PHP невозможно

Временно снизить риск помогут следующие настройки.

❌ Отключите upload_progress
В файле php.ini или настройках пула PHP-FPM установите:
session.upload_progress.enabled = 0
Важно: изменение через ini_set() или .user.ini не сработает. После изменения настройки необходимо перезапустить все процессы PHP-FPM.

❌ Ограничьте размер HTTP-запросов
Если Вашему проекту не нужна загрузка файлов, установите:
post_max_size = 8M
Если загрузка файлов необходима, установите:
post_max_size = 32M
При этом значение upload_max_filesize должно быть меньше post_max_size

❌ Для PHP 8.5 отключите дополнительные сведения в трассировках критических ошибок
Установите параметр:
fatal_error_backtraces = 0

⚠️ Важно: эти настройки лишь снижают риск эксплуатации уязвимостей, но не обеспечивают полной защиты. Они не заменяют установку исправлений.

Проверьте версии PHP на своих серверах и не откладывайте обновление.

ДЛЯ БЫСТРОГО РЕШЕНИЯ ВОПРОСА МЫ РЕКОМЕНДУЕМ ВЛАДЕЛЬЦАМ ХОСТИНГА ПЕРЕЙТИ НА VPS НА СПЕЦ. УСЛОВИЯХ

Если Вам нужна помощь с настройкой VPS, создайте тикет в ЛК Mnogoweb - поможем разобраться.