Вышел патч для двух критических уязвимостей в PHP

Разработчики PHP выпустили исправления для двух критических уязвимостей, через которые можно удаленно выполнить код на сервере (CVE-2026-109618 и CVE-2026-109619). Детали уже обсуждают публично, поэтому в ближайшие часы ожидаются массовые попытки взлома.

Если на ваших виртуальных серверах работают проекты на PHP, обновитесь как можно скорее.

1. Обновите PHP до исправленной версии

— 8.5.12
— 8.4.27
— 8.3.36
— 8.2.35

После обновления перезапустите PHP-FPM. Если PHP установлен из репозитория дистрибутива, номер версии может отличаться, ориентируйтесь на обновление пакета безопасности от Ubuntu, Debian или другого дистрибутива.

Для версий 8.1 и старше официальных исправлений нет, такие проекты стоит переводить на актуальную ветку.

2. Если обновиться сразу не получается

— отключите upload_progress. Задайте session.upload_progress.enabled = 0 в php.ini или в настройках пула FPM, через ini_set() и .user.ini это не сработает. Затем перезапустите все воркеры PHP-FPM
— ограничьте размер запросов. Если загрузка файлов не нужна, задайте post_max_size = 8M, если нужна, то 32M, а upload_max_filesize сделайте меньше post_max_size
— на PHP 8.5 дополнительно задайте fatal_error_backtraces = 0

Меры из п. 2 снижают риск, но не защищают полностью, поэтому обновиться все равно нужно.

Подробности и патч на официальном сайте php →