Якщо у вас є сайт, лендинг або ціла мережа проєктів на PHP, зараз саме час перевірити, яка версія встановлена на сервері. Причому відкладати це до наступних вихідних точно не варто.
Команда PHP випустила виправлення, і власникам сайтів тепер є чим зайнятися. Розробникам довелося усунути одразу дві небезпечні помилки. За певних налаштувань сервера зловмисник може скористатися ними, щоб запустити власний код без авторизації.
Причому з PHP стикаються навіть ті, хто ніколи нічого на ньому не писав. Цією мовою працюють WordPress, Drupal та інші популярні CMS. Тож перевірити налаштування варто і власникам звичайних сайтів, і тим, хто запускає лендинги під рекламні кампанії.
Що знайшли й чому всі так занепокоїлися
Помилкам присвоїли номери CVE-2026-109618 і CVE-2026-109619. Кожна отримала 9,2 бала з 10 за шкалою CVSS. Для фахівців із кібербезпеки це вже критичний рівень, за якого відкладати встановлення виправлень вкрай небажано.
Суть обох проблем — у роботі PHP з пам'яттю. Буває, програма звертається до ділянки, яку вже звільнила, або намагається використати пошкоджені дані. Зазвичай подібні помилки закінчуються збоєм, але тут атакувальник за певних умов може домогтися виконання власного коду на сервері.
Наслідки можуть бути неприємними: від доступу до конфіденційних даних до виконання сторонніх команд на сервері. Особливо небезпечна ситуація з Apache та mod_php — для однієї з уразливостей дослідники вже продемонстрували атаку, яка спрацьовує ще до виконання коду самого сайту.
Водночас не варто думати, що тепер будь-який PHP-сайт можна відкрити й одразу зламати. Усе залежить від версії мови, конфігурації сервера та інших умов. Але й розраховувати, що проблема омине конкретний проєкт, теж не варто.
Цікаво тут ще й те, як виявили помилки. Одну з них дослідники знайшли за допомогою моделі GPT-5.6 Sol, а фахівці Wiz незалежно виявили обидві. Штучний інтелект допоміг знайти проблеми, які довго залишалися непоміченими.
Виправлення вже вийшли. Які версії потрібно встановити?
Хороша новина в тому, що чекати на патчі не доведеться. Команда PHP випустила виправлення, і вони вже доступні.
Безпечні версії:
- PHP 8.5.12
- PHP 8.4.27
- PHP 8.3.36
- PHP 8.2.35
Якщо у вас встановлена старіша версія в одній із цих гілок, її необхідно оновити.
А ось власникам проєктів на PHP 8.1 і більш ранніх версіях доведеться повозитися. Основна команда розробників їх уже не підтримує, тому свіжих патчів безпеки для цих гілок немає. Іноді виправлення випускають постачальники серверного програмного забезпечення. Якщо ваш хостинг пропонує таку підтримку, варто уточнити деталі. Але краще все ж запланувати перехід на актуальну версію.
Не можете оновити PHP просто зараз? Тоді зазирніть в інструкцію на офіційному сайті PHP. Там є список виправлених версій і поради на випадок, якщо встановити оновлення поки не виходить. Але це тимчасовий вихід: сам патч усе одно доведеться встановити.
Що робити власникам сайтів
Для початку варто перевірити версію PHP на своєму хостингу. Зазвичай інформація доступна в панелі керування сервером. Якщо не знаєте, де її шукати, простіше написати в підтримку й уточнити, чи встановлені виправлення для нових уразливостей.
Особливо уважно варто поставитися до старих лендингів, PBN-мереж, самописних сайтів і проєктів, які давно працюють без технічного обслуговування. Про такі ресурси легко забути, поки вони продовжують приносити трафік.
Перед оновленням бажано зберегти резервну копію сайту та бази даних, а після встановлення патча перевірити основні функції. Якщо проєкт використовує старі плагіни або нестандартні модулі, сумісність теж краще протестувати.
І ще один момент: оновлення WordPress або іншого рушія саме по собі не означає, що PHP на сервері теж оновився. Це різні речі, тому перевіряти потрібно саме серверну версію.
Для арбітражних команд наслідки потенційного зламу можуть виявитися особливо болючими. Втратити доступ до лендингу неприємно саме по собі, але якщо на нього продовжує йти платний трафік, до технічних проблем швидко додаються фінансові втрати.
Тому зараз найрозумніше — перевірити свої проєкти, встановити виправлення й переконатися, що сервер справді використовує оновлену версію PHP. Тут краще витратити трохи часу на профілактику, ніж потім відновлювати сайти та розбиратися з наслідками зламу.
👉🏻 Хочете бути в курсі останніх подій? Підписуйтеся на Telegram-канал «Новини Арбітражу».
Нема коментарів