Вышел патч для двух критических уязвимостей в PHP

Разработчики PHP выпустили срочные обновления, закрывающие две критические уязвимости, позволяющие злоумышленникам удалённо выполнять произвольный код на сервере. Речь идёт о CVE-2026-109618 и CVE-2026-109619.

Поскольку детали уязвимостей уже стали достоянием общественности, в ближайшие часы следует ожидать волну массовых атак. Если на ваших серверах работают проекты на PHP — обновляться нужно как можно скорее.

Обновите PHP до исправленной версии

Выпущены следующие версии:

8.5.12

8.4.27

8.3.36

8.2.35

После установки обновления обязательно перезапустите PHP-FPM. Если PHP был установлен из репозитория вашего дистрибутива (Ubuntu, Debian и др.), номер версии может отличаться — в этом случае ориентируйтесь на обновление пакета безопасности через штатный менеджер пакетов.

Важно!

Для веток 8.1 и старше официальных исправлений не существует. Такие проекты рекомендуется перевести на актуальную поддерживаемую ветку.

Временные меры, если обновиться прямо сейчас невозможно

Если оперативное обновление по каким-то причинам недоступно, примите следующие меры для снижения рисков:

Отключите upload_progress. Добавьте session.upload_progress.enabled = 0 в файл php.ini или в настройки пула FPM. Обратите внимание: через ini_set() и .user.ini эта настройка не сработает. После изменения перезапустите воркеры PHP-FPM.

Для PHP 8.5 дополнительно установите fatal_error_backtraces = 0.

Перечисленные меры снижают риск эксплуатации, но не устраняют уязвимость полностью. Полноценная защита возможна только после обновления до патченной версии.

Подробности и исходный код патча доступны на официальном сайте: php.net