В PHP нашли две критические уязвимости. Что теперь делать владельцам сайтов?

21 октября 2026 года разработчики PHP выпустили экстренные обновления безопасности. Причина серьезная: две обнаруженные уязвимости позволяют при определенных условиях выполнять вредоносный код на сервере, даже не имея доступа к административной панели сайта.

Некоторые крупные интернет-сервисы временно ограничивали работу, пока их специалисты устанавливали исправления. А владельцы обычных сайтов начали получать предупреждения от хостинг-провайдеров.

Если такое письмо пришло и вам, откладывать вопрос не стоит. Но и менять версию PHP в панели хостинга наугад мы не советуем. Особенно если сайт разрабатывался несколько лет назад и с тех пор серьезно не обновлялся.

Рассказываем, что произошло и какие действия действительно необходимы.

Что нашли в PHP и насколько это опасно?

Речь о двух уязвимостях: CVE-2026-109618 и CVE-2026-109619. Обе получили оценку критичности 9,2 из 10.

Проблемы связаны с обработкой памяти внутри PHP. Для владельца сайта технические подробности не так важны, как возможные последствия: злоумышленник может добиться выполнения своего кода на сервере без предварительной авторизации.

В зависимости от конфигурации сервера это создает риск утечки данных, внедрения вредоносного кода и нарушения работы сайта.

Причем проблема не ограничивается старыми сайтами. Уязвимости обнаружены и в относительно новых версиях PHP.

Исправления уже выпущены, поэтому сейчас главное — убедиться, что они установлены.

Какие версии PHP безопасны после обновления?

21 октября разработчики выпустили четыре исправленных релиза:

Например, если сайт использует PHP 8.4, для устранения этих двух уязвимостей достаточно обновить его до 8.4.27. Переходить сразу на PHP 8.5 необязательно.

С более старыми версиями сложнее.

PHP 8.1 и все предыдущие ветки уже сняты с официальной поддержки. Некоторые хостинг-провайдеры продолжают выпускать для них собственные исправления, но рассчитывать на это без подтверждения провайдера не стоит.

Отдельная история — PHP 7.4. На этой версии до сих пор встречаются сайты, которые исправно работают годами. Но сама ветка устарела, и вопрос перехода на современную версию рано или поздно придется решать.

Кстати, поддержка безопасности PHP 8.2 тоже заканчивается уже 31 декабря 2026 года. Даже если сейчас все необходимые исправления установлены, владельцам сайтов на этой ветке стоит заранее запланировать обновление.

Если хостинг обновляет PHP автоматически, нам ничего делать не нужно?

Не всегда.

На виртуальном хостинге установкой исправлений внутри действующей ветки обычно занимается провайдер. Если сайт работает на PHP 8.4, администратор сервера может установить соответствующее обновление централизованно.

Но это не означает, что хостинг самостоятельно переведет старый сайт с PHP 7.4 на PHP 8.4.

И хорошо, что не переведет без предварительной проверки.

Дело в том, что старый код, плагины и модули могут оказаться несовместимыми с новой версией PHP. Тогда вместо работающего сайта владелец рискует получить ошибку 500 или проблемы с отдельными функциями.

Поэтому первым делом стоит выяснить, какая версия PHP используется именно вашим сайтом. Посмотреть ее можно в панели хостинга, а на WordPress — также в разделе «Здоровье сайта».

Если версия актуальная, уточните у провайдера, установлены ли исправления от 21 октября.

Если ветка устаревшая, потребуется отдельно разобраться с миграцией.

Почему после обновления PHP сайт может сломаться?

Возьмем типовую ситуацию. Есть интернет-магазин на WordPress, который создавался несколько лет назад. За это время в нем появились дополнительные модули, интеграция с CRM, платежная система, нестандартные формы и собственные доработки.

Пока сайт работает на привычной версии PHP, проблем может не быть.

Но после переключения на новую ветку часть старого кода перестает работать так, как раньше.

Причем неисправность не всегда заметна сразу. Главная страница может открываться, каталог — отображаться, а ошибка появится только при оформлении заказа.

Для интернет-магазина такая поломка особенно неприятна: реклама продолжает приводить посетителей, а покупки уже не проходят.

Именно поэтому перед миграцией нужно проверить совместимость CMS, плагинов, модулей и интеграций. При необходимости обновить или исправить код.

Работы лучше выполнять на тестовой копии сайта, предварительно сохранив файлы и базу данных. После обновления необходимо протестировать основные функции, а не ограничиваться проверкой главной страницы.

Не каждому сайту понадобится масштабная переделка. Где-то достаточно обновления плагинов, а где-то придется перерабатывать старый код.

Именно такие задачи мы решаем в рамках услуги доработки сайтов. Работаем в том числе с проектами, которые разрабатывали другие компании.

Что делать владельцу сайта прямо сейчас?

Прежде всего, не игнорировать уведомления от хостинга и не пытаться самостоятельно переключать старую версию PHP на новую, если нет уверенности в совместимости сайта.

Порядок действий такой:

1. Узнайте, какая версия PHP сейчас используется.
2. Проверьте у хостинг-провайдера, установлены ли исправления безопасности.
3. Если сайт работает на устаревшей ветке, запланируйте переход на поддерживаемую версию.
4. Перед переходом сохраните резервную копию и проверьте совместимость кода, CMS и модулей.
5. После обновления протестируйте формы заявок, корзину, оплату, личный кабинет и интеграции, если они есть.

И еще один момент. Обновление PHP не заменяет обновления самой CMS и ее расширений. Уязвимости могут обнаруживаться в любом из этих компонентов.

Почему о техническом состоянии сайта лучше вспоминать не только после таких новостей?

Сайт может несколько лет приносить заявки, пока владелец даже не знает, какая версия PHP на нем установлена.

Проблемы начинаются, когда приходится срочно что-то обновлять, а выясняется, что часть модулей больше не поддерживается, разработчик давно не на связи, резервной копии нет.

В итоге задача, которую можно было решить планово, превращается в срочную работу с риском простоя.

Поэтому мы всегда рекомендуем не оставлять сайт без технической поддержки после разработки.

В «Мульти Сайт» для этого есть отдельная услуга технического обслуживания сайтов. Специалисты помогают поддерживать работоспособность проекта, заниматься обновлениями и устранять технические проблемы. Конкретный состав работ зависит от договора и тарифа.

Особенно актуально это для компаний, у которых сайт напрямую влияет на продажи и прием заявок.

Как с этим работает «Мульти Сайт»?

Мы уже занимаемся вопросом обновлений PHP на клиентских проектах и разбираемся, каким сайтам достаточно серверных исправлений, а каким требуется переход на новую ветку.

Если вы получили предупреждение от хостинга или давно не обновляли сайт, можете обратиться к нашим специалистам.

Мы поможем выяснить текущую версию PHP, проверим совместимость сайта с новой веткой, определим необходимые доработки и рассчитаем стоимость работ.

При необходимости возьмем сайт на дальнейшее техническое обслуживание, чтобы подобные вопросы решались своевременно.