На 21 октомври 2026 г. екипът на PHP публикува спешни актуализации за две критични уязвимости. Те могат да позволят на отдалечен нападател да изпълни код на уебсървър без предварително да влиза в сайта. И двете уязвимости са оценени с 9,2 от 10 по системата CVSS.
Актуализация от STL: PHP версиите на всички сървъри на STL са актуализирани.
Проблемът засяга PHP средата на сървъра, а не непременно самия WordPress, OpenCart или друга система за управление на сайта. Затова сайтът може да използва актуална версия на своята платформа, но все пак да работи върху уязвима версия на PHP.
Първата уязвимост, CVE-2026-109618, е свързана с обработка на грешка при изчерпване на паметта. При определени условия това може да доведе до повреда на данни в паметта и изпълнение на код.
Втората, CVE-2026-109619, е свързана със състояние, останало от предишна заявка. При определени условия по-късна заявка може да използва тази остаряла информация и също да доведе до изпълнение на код.
На практика нападателят може да изпрати специално подготвени заявки към сайта. При успешно използване на уязвимостта кодът се изпълнява с правата на PHP процеса на сървъра. Възможните последици зависят и от настройките и изолацията на хостинг средата.
Риск има при PHP инсталации, които обработват уеб заявки. Това включва различни начини за изпълнение на PHP, сред които PHP-FPM, Apache с mod_php, php-cgi и LiteSpeed. Уязвимостите могат да засегнат сайтове и приложения, изградени с различни платформи.
По информация на PHP, най-висок риск има при някои конфигурации с Apache mod_php. Това обаче не означава, че останалите сървърни конфигурации могат да бъдат оставени без проверка.
Официалните актуализации на PHP от 21 октомври включват:
| PHP версия | Поправена версия |
|---|---|
| PHP 8.5 | 8.5.12 |
| PHP 8.4 | 8.4.27 |
| PHP 8.3 | 8.3.36 |
| PHP 8.2 | 8.2.35 |
Версиите преди посочените поправки в тези клонове са засегнати. PHP 8.1 и по-старите версии вече не получават актуализации директно от проекта PHP. Някои доставчици на операционни системи и дългосрочна поддръжка може да предоставят свои поправки, затова проверете информацията от конкретния доставчик.
PHP 8.2 получава тази поправка, но поддръжката му от проекта приключва на 31 декември 2026 г. Ако използвате тази версия, планирайте преминаване към поддържана версия.
Настройки за ограничаване на заявките могат да намалят риска от отделни сценарии, но не поправят напълно проблема. Пълната защита изисква актуализация. Ако тя не може да бъде приложена веднага, CERT-EU препоръчва да се обмисли временно ограничаване на достъпа до засегнатите приложения от публичната мрежа.
Актуализациите на WordPress, OpenCart, разширенията и темите остават важни, но сами по себе си не поправят уязвимост в PHP. Необходимо е да бъде проверена и актуализирана средата на сървъра, която изпълнява кода на сайта.
След актуализация на PHP е разумно да проверите дали сайтът и основните му функции работят нормално. При съмнение за неоторизиран достъп прегледайте сървърните логове и файловете на сайта.
Не отлагайте проверката. Актуализирайте PHP до поправена версия или се уверете, че вашият доставчик е приложил съответната поправка. Повече информация ще откриете в официалния архив на PHP и в предупреждението на CERT-EU.
Ако не сте сигурни коя версия на PHP използва сайтът ви, свържете се с администратора или хостинг доставчика. Повече информация за хостинг услугите на STL ще откриете на нашия сайт.