Вышел патч для двух критических уязвимостей в PHP
Разработчики PHP выпустили исправления для двух критических уязвимостей, через которые можно удаленно выполнить код на сервере (CVE-2026-109618 и CVE-2026-109619). Детали уже обсуждают публично, поэтому в ближайшие часы ожидаются массовые попытки взлома.
Если на ваших виртуальных серверах работают проекты на PHP, обновитесь как можно скорее.
1. Обновите PHP до исправленной версии
— 8.5.12
— 8.4.27
— 8.3.36
— 8.2.35
После обновления перезапустите PHP-FPM. Если PHP установлен из репозитория дистрибутива, номер версии может отличаться, ориентируйтесь на обновление пакета безопасности от Ubuntu, Debian или другого дистрибутива.
Для версий 8.1 и старше официальных исправлений нет, такие проекты стоит переводить на актуальную ветку.
2. Если обновиться сразу не получается
— отключите upload_progress. Задайте session.upload_progress.enabled = 0 в php.ini или в настройках пула FPM, через ini_set() и .user.ini это не сработает. Затем перезапустите все воркеры PHP-FPM
— ограничьте размер запросов. Если загрузка файлов не нужна, задайте post_max_size = 8M, если нужна, то 32M, а upload_max_filesize сделайте меньше post_max_size
— на PHP 8.5 дополнительно задайте fatal_error_backtraces = 0
Меры из п. 2 снижают риск, но не защищают полностью, поэтому обновиться все равно нужно.
Подробности и патч на официальном сайте php →
Разработчики PHP выпустили исправления для двух критических уязвимостей, через которые можно удаленно выполнить код на сервере (CVE-2026-109618 и CVE-2026-109619). Детали уже обсуждают публично, поэтому в ближайшие часы ожидаются массовые попытки взлома.
Если на ваших виртуальных серверах работают проекты на PHP, обновитесь как можно скорее.
1. Обновите PHP до исправленной версии
— 8.5.12
— 8.4.27
— 8.3.36
— 8.2.35
После обновления перезапустите PHP-FPM. Если PHP установлен из репозитория дистрибутива, номер версии может отличаться, ориентируйтесь на обновление пакета безопасности от Ubuntu, Debian или другого дистрибутива.
Для версий 8.1 и старше официальных исправлений нет, такие проекты стоит переводить на актуальную ветку.
2. Если обновиться сразу не получается
— отключите upload_progress. Задайте session.upload_progress.enabled = 0 в php.ini или в настройках пула FPM, через ini_set() и .user.ini это не сработает. Затем перезапустите все воркеры PHP-FPM
— ограничьте размер запросов. Если загрузка файлов не нужна, задайте post_max_size = 8M, если нужна, то 32M, а upload_max_filesize сделайте меньше post_max_size
— на PHP 8.5 дополнительно задайте fatal_error_backtraces = 0
Меры из п. 2 снижают риск, но не защищают полностью, поэтому обновиться все равно нужно.
Подробности и патч на официальном сайте php →