PHP закрыл две критические дыры: чужой код без логина

21 октября проект PHP выпустил патчи 8.5.12, 8.4.27, 8.3.36 и 8.2.35. Они закрывают CVE-2026-109618 и CVE-2026-109619: неавторизованный запрос может привести к удалённому выполнению кода. Полных обходных мер нет — безопасен только апдейт.

Уязвимости сидят в самом движке, а не в коде сайта. В зоне риска PHP-FPM, Apache с mod_php и cgi; для mod_php атака возможна ещё до запуска приложения. В РФ на PHP часто стоят WordPress и «1С-Битрикс».

Что сделать:
• обновить PHP до 8.5.12, 8.4.27, 8.3.36 или 8.2.35;
• на 8.1 и старше — перейти на поддерживаемую ветку или взять бэкпорт у вендора;
• проверить фактическую версию на хостинге и в контейнерах, не только тег образа.

Источник: Php