Критична актуализация на PHP: какво да направят собствениците на сайтове
PHP публикува поправки за две критични уязвимости. Вижте коригираните версии и какво да поискате от хостинг доставчика или разработчика си.
21 октомври 2026 г. · Обновено на 23 октомври 2026 г.: действия при неподдържани версии на PHP.
Ако сайтът ви използва PHP, свържете се още днес с екипа, който отговаря за хостинга, и поискайте потвърждение, че поправките по сигурността са приложени.
Какво е важно да знаете като собственик на сайт
Ако сте попаднали на тревожни публикации по темата, няма основание да приемате, че сайтът ви вече е хакнат или данните ви са изтекли. Съобщението за уязвимост само по себе си не доказва такъв инцидент. Не е нужно да вземате прибързани решения, но е важно още днес да поискате проверка и своевременна актуализация от екипа, който поддържа сайта или хостинга ви.
Ако получите предложение за платена намеса, поискайте конкретно обяснение как проблемът засяга вашия сайт, каква работа е необходима и дали тя е включена в текущата ви поддръжка. Допълнителни разходи може да са обосновани според състоянието на системата, но самата новина не означава автоматично, че се нуждаете от нов сайт, смяна на хостинга или скъпа преработка.
В съобщението си от 21 октомври екипът на PHP описва две критични уязвимости, които могат да позволят дистанционно изпълнение на код без предварително удостоверяване. Рискът обхваща PHP инсталации, обслужващи уеб заявки, включително PHP-FPM, Apache mod_php, CGI, FrankenPHP и LiteSpeed. Екипът определя риска при mod_php като най-висок.
Какво е поправено?
Официалните описания посочват два отделни проблема:
- CVE-2026-109618: грешка при изчерпване на паметта може да остави вътрешни данни на заявката в невалидно състояние, които PHP впоследствие използва. Вижте официалното описание на проблема с паметта.
- CVE-2026-109619: вътрешно състояние от една заявка може да остане след освобождаване на паметта му и да бъде използвано от следваща заявка в същия обслужващ процес. Вижте официалното описание на проблема със състоянието на заявките.
Съобщението за уязвимост не доказва, че конкретният ви сайт е компрометиран. То е основание средата да бъде проверена и актуализирана своевременно.
Кои версии на PHP съдържат поправките?
В официалното описание на уязвимостта са посочени следните коригирани версии:
| Серия на PHP | Версия с поправките |
|---|---|
| 8.5 | 8.5.12 |
| 8.4 | 8.4.27 |
| 8.3 | 8.3.36 |
| 8.2 | 8.2.35 |
Някои доставчици предлагат пренесени поправки; поискайте тяхното известие по сигурността, вместо да съдите единствено по номера на основната версия.
Какво да направите, ако сайтът още използва PHP 7.4, 8.0 или 8.1?
Тези серии вече не получават редовни поправки по сигурността от проекта PHP. Поддръжката на PHP 7.4 приключи на 28 ноември 2022 г., на PHP 8.0 — на 26 ноември 2023 г., а на PHP 8.1 — на 31 декември 2025 г. Чакането на следваща редовна актуализация за PHP 7.4 не е план за поддръжка. Вижте официалния списък на неподдържаните серии.
За този конкретен инцидент има изключение: екипът по сигурността на PHP предостави минимални спешни поправки в изходния код за PHP 7.4, 8.0 и 8.1. Те обхващат двете обявени уязвимости, но не възстановяват редовната поддръжка и не доказват, че инсталираният при вас пакет е поправен. Хостинг доставчикът или квалифициран специалист трябва да ги приложи, компилира, тества и внедри, или да предостави поддържан пакет с еквивалентни поправки. Връзките към тях са в официалното съобщение на PHP.
Сам по себе си надпис като PHP 7.4.33 не доказва наличието на поправките. Поискайте номера на пакета и писмено потвърждение, че покрива и CVE-2026-109618, и CVE-2026-109619. При други неподдържани серии, включително PHP 7.3 и по-стари, не приемайте, че спешното изключение важи и за тях; поискайте доказателство за конкретната работеща среда.
Ако няма потвърден пакет с поправките
- Организирайте спешно преминаване към поддържана серия на PHP. Проверете CMS системата, framework-а, плъгините, разширенията и собствения код в отделна тестова среда, с използваемо резервно копие и план за възстановяване.
- Уточнете как да намалите излагането на риск до приключване на работата. Ако доставчикът не може своевременно да осигури проверена поправка, обсъдете ограничаване на публичния достъп или временно спиране на засегнатото приложение. Защитна стена или промяна в настройките не доказват, че PHP е поправен.
- Внедрете и проверете действително работещата PHP среда. Включете процесите, обслужващи уеб заявки, планираните команди и фоновите задачи, след което тествайте клиентските действия, изброени по-долу. Актуализация само на CMS системата или плъгините не актуализира самия PHP.
- Определете отговорник и срок за миграцията. Използвайте проверената поправка за стара серия като временна мярка, с ясен план за бъдещи актуализации.
При избор на нова серия проверете сроковете за поддръжка на PHP. Поддръжката по сигурността на PHP 8.2 приключва на 31 декември 2026 г.; PHP 8.4 и 8.5 имат по-дълги срокове, когато приложението е съвместимо с тях. Инсталирайте поддържана версия, която съдържа поправките, или по-нова поддържана версия по сигурността.
Промените в настройките не решават проблема напълно. Следвайте указанията на PHP за актуализация; временните мерки не заменят поправките.
Практични стъпки за вашия бизнес
Предлагаме ясен отговорник за актуализацията и записана проверка след нея:
- Съставете списък на сайтовете за проверка. Включете основния сайт, онлайн магазина, резервациите, клиентския портал и по-старите поддомейни. Запишете кой управлява всяка среда.
- Поискайте работещата версия и потвърждение за поправките. Важна е версията, която обслужва уеб трафика. При пренесена поправка поискайте номера на пакета и съответното известие от доставчика. Името на хостинг плана или стар запис за внедряване не са достатъчни.
- Организирайте актуализацията своевременно. Отговорният екип трябва да потвърди използваемо резервно копие, да провери съвместимостта и да уточни евентуален кратък прозорец за поддръжка. Съобразете обхвата на тестовете със спешността.
- Потвърдете, че новата версия действително работи. Поискайте проверка на всички съответни инстанции и необходимите рестартирания на услуги и процеси. Инсталиран пакет не означава автоматично, че всяка заявка вече се обслужва от него.
- Проверете основните действия на клиентите. Тествайте входа, формите за контакт, качването на файлове, резервациите, поръчките и платежните известия, ако сайтът ги използва. Прегледайте грешките след промяната.
- Запазете запис за приключването. Отбележете проверените сайтове, версията или пакета, часа и отговорния човек. За всяко изключение определете отговорник и срок.
При управляван хостинг започнете със запитване до поддръжката: „Моля, потвърдете дали PHP средата, която обслужва нашите домейни, съдържа поправките за CVE-2026-109618 и CVE-2026-109619. Посочете инсталираната версия или съответния пакет на доставчика.“
Статията обяснява съобщението и предлага конкретни действия; тя не потвърждава състоянието на отделен сайт. Официалните описания на PHP остават източникът за техническите подробности.