Критични уязвимости в PHP: как да защитите сайта си

На 21 октомври 2026 г. екипът на PHP публикува спешни актуализации за две критични уязвимости. Те могат да позволят на отдалечен нападател да изпълни код на уебсървър без предварително да влиза в сайта. И двете уязвимости са оценени с 9,2 от 10 по системата CVSS.

Актуализация от STL: PHP версиите на всички сървъри на STL са актуализирани.

Проблемът засяга PHP средата на сървъра, а не непременно самия WordPress, OpenCart или друга система за управление на сайта. Затова сайтът може да използва актуална версия на своята платформа, но все пак да работи върху уязвима версия на PHP.

Какво означават уязвимостите?

Първата уязвимост, CVE-2026-109618, е свързана с обработка на грешка при изчерпване на паметта. При определени условия това може да доведе до повреда на данни в паметта и изпълнение на код.

Втората, CVE-2026-109619, е свързана със състояние, останало от предишна заявка. При определени условия по-късна заявка може да използва тази остаряла информация и също да доведе до изпълнение на код.

На практика нападателят може да изпрати специално подготвени заявки към сайта. При успешно използване на уязвимостта кодът се изпълнява с правата на PHP процеса на сървъра. Възможните последици зависят и от настройките и изолацията на хостинг средата.

Кои сайтове са засегнати?

Риск има при PHP инсталации, които обработват уеб заявки. Това включва различни начини за изпълнение на PHP, сред които PHP-FPM, Apache с mod_php, php-cgi и LiteSpeed. Уязвимостите могат да засегнат сайтове и приложения, изградени с различни платформи.

По информация на PHP, най-висок риск има при някои конфигурации с Apache mod_php. Това обаче не означава, че останалите сървърни конфигурации могат да бъдат оставени без проверка.

Кои версии на PHP са поправени?

Официалните актуализации на PHP от 21 октомври включват:

Версиите преди посочените поправки в тези клонове са засегнати. PHP 8.1 и по-старите версии вече не получават актуализации директно от проекта PHP. Някои доставчици на операционни системи и дългосрочна поддръжка може да предоставят свои поправки, затова проверете информацията от конкретния доставчик.

PHP 8.2 получава тази поправка, но поддръжката му от проекта приключва на 31 декември 2026 г. Ако използвате тази версия, планирайте преминаване към поддържана версия.

Какво трябва да направят собствениците на сайтове?

1. Свържете се с хостинг доставчика или администратора на сървъра. Попитайте коя версия на PHP обработва сайта ви и дали е приложена съответната поправка.
2. Проверете всички PHP среди. Това е важно, ако сайтът използва повече от една PHP версия, отделни PHP-FPM конфигурации, поддомейни или допълнителни сървъри.
3. Инсталирайте актуализацията от доставчика на PHP или операционната система. При хостинг планове това обикновено се извършва от доставчика или системния администратор.
4. Проверете версията, която реално използва сайтът. Версията, показана при проверка през командния ред, може да се различава от тази, с която се зарежда сайтът.
5. Планирайте преминаване към поддържана версия, ако използвате PHP 8.1 или по-стара версия и доставчикът ви не осигурява актуална поправка.

Настройки за ограничаване на заявките могат да намалят риска от отделни сценарии, но не поправят напълно проблема. Пълната защита изисква актуализация. Ако тя не може да бъде приложена веднага, CERT-EU препоръчва да се обмисли временно ограничаване на достъпа до засегнатите приложения от публичната мрежа.

Достатъчно ли е да обновите WordPress или OpenCart?

Актуализациите на WordPress, OpenCart, разширенията и темите остават важни, но сами по себе си не поправят уязвимост в PHP. Необходимо е да бъде проверена и актуализирана средата на сървъра, която изпълнява кода на сайта.

След актуализация на PHP е разумно да проверите дали сайтът и основните му функции работят нормално. При съмнение за неоторизиран достъп прегледайте сървърните логове и файловете на сайта.

Не отлагайте проверката. Актуализирайте PHP до поправена версия или се уверете, че вашият доставчик е приложил съответната поправка. Повече информация ще откриете в официалния архив на PHP и в предупреждението на CERT-EU.

Ако не сте сигурни коя версия на PHP използва сайтът ви, свържете се с администратора или хостинг доставчика. Повече информация за хостинг услугите на STL ще откриете на нашия сайт.