21 октября 2026 года в 14:00 UTC команда PHP выпустит экстренное обновление безопасности.
Разработчики закрыли две критические уязвимости. Им присвоили идентификаторы CVE-2026-109618 и CVE-2026-109619. По шкале CVSS v4.0 обе получили оценку 9,2 — это действительно очень высокий уровень опасности. Суть проблем в том, что они позволяли удалённо выполнять произвольный код (RCE) на веб-сервере без предварительной авторизации. Под угрозой могли оказаться сайты на разных CMS и фреймворках: WordPress, MediaWiki, phpBB, Magento, Joomla, Laravel, Symfony, Drupal, WHMCS.
По предварительным данным исследователей, проблема была связана с механизмом session.upload_progress. В обсуждениях мелькали предположения, что проблема может затрагивать даже старые версии PHP (начиная с 5.4). Однако команда PHP официально подтвердила поддержку только актуальных веток (8.2, 8.3, 8.4, 8.5) — более ранние версии уже вышли из жизненного цикла и не получают стандартных исправлений. Поэтому при оценке риска важно сверить свою версию с официальным списком затронутых релизов, который разработчики опубликовали вместе с патчем.
Сразу после выхода обновления команда рекомендовала как можно скорее обновить системы. До публикации патча специалисты советовали временно отключить настройку `session.upload_progress.enabled` (установить значение Off в php.ini) — это могло перекрыть один из предполагаемых векторов атаки, хотя и не гарантировало полной защиты от обеих ошибок.
https://www.php.net/index.php#2026-10-20-1
Разработчики закрыли две критические уязвимости. Им присвоили идентификаторы CVE-2026-109618 и CVE-2026-109619. По шкале CVSS v4.0 обе получили оценку 9,2 — это действительно очень высокий уровень опасности. Суть проблем в том, что они позволяли удалённо выполнять произвольный код (RCE) на веб-сервере без предварительной авторизации. Под угрозой могли оказаться сайты на разных CMS и фреймворках: WordPress, MediaWiki, phpBB, Magento, Joomla, Laravel, Symfony, Drupal, WHMCS.
По предварительным данным исследователей, проблема была связана с механизмом session.upload_progress. В обсуждениях мелькали предположения, что проблема может затрагивать даже старые версии PHP (начиная с 5.4). Однако команда PHP официально подтвердила поддержку только актуальных веток (8.2, 8.3, 8.4, 8.5) — более ранние версии уже вышли из жизненного цикла и не получают стандартных исправлений. Поэтому при оценке риска важно сверить свою версию с официальным списком затронутых релизов, который разработчики опубликовали вместе с патчем.
Сразу после выхода обновления команда рекомендовала как можно скорее обновить системы. До публикации патча специалисты советовали временно отключить настройку `session.upload_progress.enabled` (установить значение Off в php.ini) — это могло перекрыть один из предполагаемых векторов атаки, хотя и не гарантировало полной защиты от обеих ошибок.
https://www.php.net/index.php#2026-10-20-1