Если у вас есть сайт, лендинг или целая сетка проектов на PHP, сейчас самое время проверить, какая версия установлена на сервере. Причём откладывать это на следующие выходные точно не стоит.
Команда PHP выпустила исправления, и владельцам сайтов теперь есть чем заняться. Разработчикам пришлось закрывать сразу две опасные ошибки. При определённых настройках сервера злоумышленник может воспользоваться ими, чтобы запустить собственный код без авторизации.
Причём с PHP сталкиваются даже те, кто никогда ничего на нём не писал. На этом языке работают WordPress, Drupal и другие популярные CMS. Так что проверить настройки стоит и владельцам обычных сайтов, и тем, кто запускает лендинги под рекламные кампании.
Что нашли и почему все так обеспокоились
Ошибкам присвоили номера CVE-2026-109618 и CVE-2026-109619. Каждая набрала 9,2 балла из 10 по шкале CVSS. Для специалистов по безопасности это уже критический уровень, при котором откладывать установку исправлений крайне нежелательно.
Суть обеих проблем — в работе PHP с памятью. Бывает, программа обращается к участку, который уже освободила, или пытается использовать повреждённые данные. Обычно подобные ошибки заканчиваются сбоем, но здесь атакующий при определённых условиях может добиться выполнения своего кода на сервере.
Последствия могут быть неприятными: от доступа к конфиденциальным данным до выполнения посторонних команд на сервере. Особенно опасна ситуация с Apache и mod_php — для одной из уязвимостей исследователи уже продемонстрировали атаку, которая срабатывает ещё до выполнения кода самого сайта.
При этом не нужно думать, что теперь любой PHP-сайт можно открыть и сразу взломать. Всё зависит от версии языка, конфигурации сервера и других условий. Но и рассчитывать, что проблема обойдёт конкретный проект стороной, не стоит.
Интересно здесь ещё и то, как обнаружили ошибки. Одну из них исследователи нашли с помощью модели GPT-5.6 Sol, а специалисты Wiz независимо выявили обе. Искусственный интеллект помог обнаружить проблемы, которые долго оставались незамеченными.
Исправления уже вышли. Какие версии нужно установить?
Хорошая новость в том, что ждать патчей не придётся. Команда PHP выпустила исправления, и они уже доступны.
Безопасные версии:
- PHP 8.5.12
- PHP 8.4.27
- PHP 8.3.36
- PHP 8.2.35
Если у вас установлена более ранняя версия в одной из этих веток, её необходимо обновить.
А вот владельцам проектов на PHP 8.1 и более ранних версиях придётся повозиться. Основная команда разработчиков их уже не поддерживает, поэтому свежих патчей безопасности для этих веток нет. Иногда исправления выпускают поставщики серверного ПО. Если ваш хостинг предлагает такую поддержку, стоит уточнить детали. Но лучше всё же запланировать переход на актуальную версию.
Не можете обновить PHP прямо сейчас? Тогда загляните в инструкцию на официальном сайте PHP. Там есть список исправленных версий и советы на случай, если установить обновление пока не получается. Но это временный выход: сам патч всё равно придётся поставить.
Что делать владельцам сайтов
Для начала стоит проверить версию PHP на своём хостинге. Обычно информация доступна в панели управления сервером. Если не знаете, где её искать, проще написать в поддержку и уточнить, установлены ли исправления для новых уязвимостей.
Особенно внимательно стоит отнестись к старым лендингам, PBN-сеткам, самописным сайтам и проектам, которые давно работают без технического обслуживания. Такие ресурсы легко забыть, пока они продолжают приносить трафик.
Перед обновлением желательно сохранить резервную копию сайта и базы данных, а после установки патча проверить основные функции. Если проект использует старые плагины или нестандартные модули, совместимость тоже лучше протестировать.
И ещё один момент: обновление WordPress или другого движка само по себе не означает, что PHP на сервере тоже обновился. Это разные вещи, поэтому проверять нужно именно серверную версию.
Для арбитражных команд последствия потенциального взлома могут оказаться особенно болезненными. Потерять доступ к лендингу неприятно само по себе, но если на него продолжает идти платный трафик, к техническим проблемам быстро добавляются финансовые потери.
Поэтому сейчас самое разумное — проверить свои проекты, установить исправления и убедиться, что сервер действительно использует обновлённую версию PHP. Здесь лучше потратить немного времени на профилактику, чем потом восстанавливать сайты и разбираться с последствиями взлома.
👉🏻 Хотите быть в курсе последних событий? Подписывайтесь на Telegram-канал «Новости Арбитража».
Нет комментариев.