21 кастрычніка 2026 | PHP | ІТ-бяспека
21 кастрычніка 2026 года каманда бяспекі PHP апублікавала абнаўленні для ўсіх версій PHP, якія яшчэ падтрымліваюцца. Яны ліквідуюць дзве крытычныя ўразлівасці, вядомыя пад назвай PHP2Shell. BSI выпусціла пра гэта папярэджанне і патрабуе неадкладна ўсталяваць патчы на закранутых сістэмах. Хто эксплуатуе вэб-сервер з PHP, павінен дзейнічаць яшчэ сёння. Гэта тычыцца і ўсіх, хто «толькі» вядзе WordPress, Nextcloud або Joomla, бо гэтыя прыкладанні працуюць на PHP.
Гэты артыкул падсумоўвае, што адбылося, якія версіі PHP закранутыя, якая версія вам патрэбна зараз і як за некалькі хвілін праверыць, ці абаронены ваш сервер.
Змест гэтага артыкула
Што адбылося? Храналогія
Каманда бяспекі PHP загадзя абвясціла аб выпуску выпраўленняў, каб хостэры і адміністратары мелі час падрыхтавацца. Сам выпуск адбыўся 21 кастрычніка 2026 года. BSI выдала сваё папярэджанне (версія 1.1) у той жа дзень.
- 20 кастрычніка 2026: папярэджанне каманды бяспекі PHP аб тым, што на наступны дзень выйдуць абнаўленні бяспекі.
- 21 кастрычніка 2026, 14:00 UTC (16:00 па летнім часе Цэнтральнай Еўропы): выходзяць патчы для PHP 8.5, 8.4, 8.3 і 8.2.
- 21 кастрычніка 2026: BSI папярэджвае пра «крытычныя ўразлівасці, якія пагражаюць вэб-прыкладанням ва ўсім свеце» і рэкамендуе неадкладна ўсталяваць патчы. Паводле звестак BSI, буйныя хостынг-правайдэры часткова адключылі серверы ад сеткі ў мэтах засцярогі.
Дзве ўразлівасці PHP: агляд
Гаворка ідзе пра дзве асобныя памылкі ў ядры PHP: CVE-2026-109618 і CVE-2026-109619. Паводле звестак каманды бяспекі PHP, абедзве могуць прывесці да таго, што зламыснік можа выконваць праграмны код на серверы без уваходу ў сістэму (unauthenticated Remote Code Execution). Уразлівасці ацэньваюцца па CVSS v4.0: 9,2 (крытычна).
| Характарыстыка | Значэнне |
|---|---|
| Ідэнтыфікатары | CVE-2026-109618 і CVE-2026-109619 |
| Ацэнка | CVSS v4.0: 9,2 — крытычна |
| Наступствы | Выкананне кода на серверы (Remote Code Execution) без уваходу ў сістэму |
| Прычына 1 | Пашкоджаная памяць, калі PHP падчас апрацоўкі больш не атрымлівае аператыўнай памяці (Out-of-Memory) |
| Прычына 2 | Састарэлы глабальны стан, які застаецца ў памяці паміж запытамі |
| Асабліва ўразлівыя | Apache з mod_php |
Паводле ацэнкі BSI, на момант публікацыі пацверджаных атак не было, але з'яўляліся непацверджаныя прыкметы спроб эксплуатацыі. Пры крытычных уразлівасцях у такім шырока распаўсюджаным праграмным забеспячэнні, як паказвае досвед, варта чакаць, што зламыснікі прааналізуюць выпраўленні і падрыхтуюць аўтаматызаваныя атакі. Таму часавае акно для ўсталявання патчаў кароткае.
Каго гэта закранае?
Закранутым з'яўляецца ў прынцыпе кожны сервер, на якім працуе PHP, незалежна ад таго, як падключаны PHP: PHP-FPM, mod_php у Apache, php-cgi, FrankenPHP або LiteSpeed. Паводле каманды бяспекі PHP, найвышэйшы рызыка — пры Apache з mod_php.
BSI яўна называе прыкладанні, якія пабудаваны на PHP і таму таксама могуць быць закранутыя:
- Сістэмы кіравання кантэнтам: WordPress, Drupal, TYPO3, Joomla
- Сістэмы інтэрнэт-крам: Magento
- Воблачнае сховішча і файлы: Nextcloud
- Інтэрфейсы брандмаўэраў: pfSense, OPNsense
Для гэтага само прыкладанне не павінна быць дэфектным. Уразлівасць знаходзіцца ў PHP, таму абнаўленне WordPress, Nextcloud & Co. само па сабе не дапамагае. Трэба абнавіць версію PHP на серверы. У брандмаўэраў, такіх як pfSense і OPNsense, выпраўленая версія PHP прыходзіць праз адпаведнае абнаўленне прашыўкі ад вытворцы.
Гэтыя версіі PHP бяспечныя
Уразлівасці ліквідаваны ў наступных версіях. Усё, што ніжэй, лічыцца ўразлівым.
| Галіна PHP | Мінімальна неабходная | Заўвага |
|---|---|---|
| PHP 8.5 | 8.5.12 | актуальная галіна |
| PHP 8.4 | 8.4.27 | |
| PHP 8.3 | 8.3.36 | |
| PHP 8.2 | 8.2.35 | Падтрымка заканчваецца 31 снежня 2026 года |
| PHP 8.1 і старэйшыя | афіцыйнага абнаўлення няма, гл. унізе | |
Як праверыць і абнавіць ваш сервер
1. Вызначыць усталяваную версію PHP
У каманднай радку сервера php -v паказвае версію PHP для камандннага радка. Вэб-сервер можа выкарыстоўваць іншую версію PHP. Таму праверце таксама версію PHP-FPM або модуля Apache, напрыклад, праз php-fpm8.3 -v або праз старонку, якая выводзіць phpinfo() (яе пасля гэтага адразу выдаліце).
2. Усталяваць абнаўленне праз кіраванне пакетамі
У Debian, Ubuntu, RHEL і роднасных сістэмах выпраўленая версія прыходзіць праз звычайнае кіраванне пакетамі, напрыклад apt update && apt upgrade або dnf upgrade. У староніх крыніцах, такіх як Sury-PPA або рэпазітар Remi, новыя пакеты з'яўляюцца, як правіла, аператыўна.
apt changelog php8.3-fpm або rpm -q --changelog php | grep CVE-2026-1096).
3. Перазапусціць службу PHP
Аднаго абнаўлення пакета недастаткова: працуючыя працэсы PHP захоўваюць стары код у памяці. Перазапусціце PHP-FPM (systemctl restart php8.3-fpm) або Apache (systemctl restart apache2) і праверце потым, ці былі працэсы запушчаныя пасля абнаўлення.
4. Вэб-сайты на хостынгу
На агульным хостынгу абнаўляе, як правіла, правайдэр. У меню кліента звычайна можна наладзіць версію PHP для кожнага вэб-сайта. Абярыце там адну з названых вышэй бяспечных версій або запытайце ў правайдэра стан патчаў. Паводле звестак BSI, асобныя правайдэры адключылі серверы ад сеткі ў мэтах засцярогі. Калі ваш сайт на кароткі час недаступны, прычынай можа быць гэта.
PHP 8.1 і старэйшыя: афіцыйнага абнаўлення няма
Для PHP 8.1 і старэйшых афіцыйных абнаўленняў бяспекі больш няма. У эксплуатантаў такіх сістэм ёсць дзве магчымасці:
- Перайсці на версію, якая падтрымліваецца (рэкамендуецца). Чым старэйшая версія, тым большыя працы па адаптацыі прыкладання і пашырэнняў, таму пераход трэба папярэдне пратэставаць.
- Перанесці выпраўленні назад (backport). Каманда бяспекі PHP выклала выпраўленні ў галінах распрацоўкі на GitHub. Хто сам кампілюе PHP, можа перанесці гэтыя змены ў старэйшыя версіі. Гэта часовае рашэнне, і яно патрабуе спецыяльных ведаў.
PHP 8.2 таксама падтрымліваецца толькі да 31 снежня 2026 года. Таму плануйце пераход на PHP 8.4 або 8.5 ужо цяпер і не адкладайце яго на мяжу года.
Часовыя меры і пытанне «Адключыць сервер ад сеткі?»
Каманда бяспекі PHP апісала разам з абвесткай таксама папярэднія меры засцярогі. Яны зніжаюць рызыку, але не закрываюць уразлівасці цалкам. Яны не замяняюць абнаўленне і прызначаны толькі для таго, каб перачакаць час да абнаўлення.
Ці варта да абнаўлення адключыць сервер ад сеткі, залежыць ад яго значнасці і даступнасці. BSI адзначае, што буйныя правайдэры пайшлі на гэты крок. Як правіла прыблізна:
- Сервер, даступны публічна, абнаўленне зараз магчымае: неадкладна ўсталяваць патчы, адключаць не трэба.
- Сервер, даступны публічна, абнаўленне ў кароткі тэрмін немагчымае: абмежаваць доступ (напрыклад, праз брандмаўэр толькі для вядомых адрасоў) або часова адключыць службу, асабліва пры
mod_php. - Сервер, даступны толькі ўнутры: усталяваць патчы своечасова, тэрміновасць меншая.
Частыя пытанні
Ці трэба мне абнаўляць WordPress, Joomla або Nextcloud?
Не з-за гэтай уразлівасці. Яна знаходзіцца ў PHP, а не ў прыкладанні. Абнавіце версію PHP на серверы. Абнаўленне самога прыкладання, тым не менш, мае сэнс незалежна ад гэтага.
Як зразумець, ці не скарыстаўся хто-небудзь ужо гэтай уразлівасцю?
Дакладна гэта сказаць цяжка. Насцярожваюць невядомыя файлы PHP у вэб-каталогу, незвычайныя працэсы пад карыстальнікам вэб-сервера, новыя ўліковыя запісы або задачы cron і незвычайны выходны трафік. Пры канкрэтным падазрэнні сістэму трэба правесці праз крыміналістычную праверку, а ў выпадку сумневаў — разгарнуць нанова.
Ці дастаткова Web Application Firewall?
Брандмаўэр можа адбіць вядомыя шаблоны атак, але гэта не замена абнаўленню. Больш пра ўзаемадзеянне некалькіх узроўняў абароны чытайце ў нашым артыкуле Абарона Odoo 19: брандмаўэр, 2FA & Web RBL. Гэтыя прынцыпы дзейнічаюць для любога вэб-прыкладання.
Ці закранае гэта Odoo?
Не. Odoo напісана на Python і не працуе на PHP. Закранутымі былі б толькі прыкладанні на PHP, якія працуюць на тым жа серверы.
Дзе знайсці афіцыйную інфармацыю?
Паведамленне каманды бяспекі PHP вы знойдзеце ў архівах навін на php.net (запіс ад 20 кастрычніка 2026 г.), а версіі — на php.net/downloads. Папярэджанне BSI мае нумар 2026-297981-1032 і апублікавана на bsi.bund.de .
Падтрымка ад Biricon IT Services
Калі вы не ўпэўнены, якая версія PHP працуе на вашым серверы, або вам патрэбна дапамога з устаноўкай патчаў, мы з ахвотай вам дапаможам: пры інвентарызацыі усіх сістэм на PHP, пры ўстаноўцы абнаўленняў, пры пераходзе на падтрымліваемую версію PHP і пры праверцы на кампраметацыю. Як ІТ-паслугадаўца мы абслугоўваем серверы, брандмаўэры і вэб-прыкладанні для малых і сярэдніх прадпрыемстваў.
Стан на 21 кастрычніка 2026 г. Сітуацыя можа хутка змяніцца; вызначальнымі з'яўляюцца публікацыі каманды бяспекі PHP і BSI.