Критические уязвимости PHP закрыты. Что теперь делать владельцам российских сайтов
21 октября команда PHP выпустила четыре обновления безопасности. Исправления доступны в версиях PHP 8.2.35, 8.3.36, 8.4.27 и 8.5.12. Они устраняют уязвимости CVE-2026-109618 и CVE-2026-109619, получившие оценку 9,2 балла по шкале CVSS 4.0. При определенных условиях ошибки позволяют злоумышленникам удаленно выполнять код на сервере без авторизации. Теперь главная задача владельцев сайтов и корпоративных систем не просто установить обновления, а сделать это до возможной атаки и без остановки бизнеса.
Как ранее сообщал IT-World, проблема затрагивает сам PHP, а не отдельные системы управления сайтами. Поэтому обновление WordPress, «1С-Битрикс» или другой CMS не устраняет угрозу. Исправлять необходимо серверное окружение. Особенно опасной разработчики считают конфигурацию Apache с модулем mod_php, для которой уже продемонстрирована возможность эксплуатации уязвимости до выполнения кода сайта. Потенциально затронуты и другие способы запуска PHP, включая PHP-FPM и php-cgi.
Российские хостинг-провайдеры начали принимать защитные меры еще до выхода исправлений. Timeweb сообщил клиентам о временном отключении механизма upload_progress, используемого для отслеживания загрузки файлов, и намерении обновить все версии PHP. Beget также объявил об ограничении upload_progress и предупредил о возможном ограничении обработки запросов multipart/form-data, через которые сайты принимают загружаемые файлы. Такие меры снижают риск эксплуатации уязвимостей, но могут затронуть работу отдельных форм, личных кабинетов и сервисов обмена документами.
При этом отключение upload_progress не обеспечивает полной защиты. Французская служба CERT-FR предупреждает, что эта мера снижает риск эксплуатации только одной из двух обнаруженных уязвимостей. Полностью устранить угрозу можно лишь установкой исправлений. Хостерам предстоит обновить серверы и убедиться, что после снятия временных ограничений сайты продолжат безопасно обрабатывать запросы.
Собственные меры принимает и «Битрикс». Компания предупредила партнеров о временном отключении загрузки файлов в некоторых формах облачного Битрикс24. Ограничение должно действовать до установки исправлений PHP и завершения проверок безопасности. В компании подчеркивают, что уязвимости обнаружены не в Битрикс24 или «1С-Битрикс: Управление сайтом», а во внешнем серверном компоненте. Облачным клиентам самостоятельно обновлять PHP не требуется, поскольку инфраструктуру обслуживает разработчик.
«После выхода исправлений команде потребуется время на их установку и проверку. О восстановлении работы сообщим отдельно», говорится в сообщении «Битрикса», направленном партнерам.
Для владельцев сайтов на виртуальном хостинге первоочередная задача теперь выяснить, установил ли провайдер исправления и какие версии PHP доступны. Если обновление еще не завершено, необходимо уточнить, какие временные ограничения действуют и могут ли они повлиять на работу сайта. Владельцы VPS и выделенных серверов, которые администрируют инфраструктуру самостоятельно, должны устанавливать исправления сами либо поручить это подрядчику. При этом важно проверить не только установленную версию PHP, но и ту, которую фактически использует веб-сервер.
Сложнее ситуация с PHP 8.1 и более ранними версиями. Они сняты с официальной поддержки и не получили новых выпусков от команды PHP. Однако некоторые поставщики Linux-дистрибутивов с длительным сроком поддержки могут перенести исправления в старые ветки. Поэтому сам по себе номер PHP еще не показывает, защищен сервер или нет. Необходимо проверить наличие обновлений безопасности у поставщика операционной системы или хостинга.
Именно здесь возникает главная проблема для владельцев устаревших корпоративных приложений. Переход с PHP 5 или PHP 7 на современные версии может потребовать переработки собственных модулей, библиотек и интеграций. Простая замена серверного окружения способна нарушить оформление заказов, прием платежей или обмен данными с учетными системами. В таких случаях обновление необходимо сначала проверить на тестовом окружении, подготовить резервные копии и план восстановления. Если быстро перейти на защищенную версию невозможно, придется временно ограничивать доступ к уязвимым функциям или изолировать приложение.
«Битрикс» отдельно рекомендовал владельцам коробочного Битрикс24 и сайтов на «1С-Битрикс: Управление сайтом» проверить версию PHP, установить исправления на сервере и протестировать работу приложений. Для организаций, использующих давно не обновлявшиеся версии платформы и сторонние модули, это может оказаться значительно сложнее, чем для клиентов облачного сервиса.
Выпуск исправлений изменил ситуацию, но не завершил ее. Уязвимости устранены в поддерживаемых версиях PHP, однако безопасность конкретного сайта зависит от того, когда обновится его сервер. Российские хостеры и разработчики сервисов уже ограничивают отдельные функции ради защиты клиентов. Теперь важно, насколько быстро они смогут установить исправления, снять ограничения и обеспечить поддержку старых версий PHP. Для владельцев устаревших корпоративных систем выбор еще сложнее. Им придется устранять угрозу, одновременно стараясь не остановить приложения, от которых зависит работа бизнеса.
