У PHP знайшли критичні вразливості: як захистити сайт

Редакція Top-Gadgets
Логотип мови програмування PHP на синьому фоні
3 хв читання

21 жовтня 2026 року команда PHP випустила термінові оновлення безпеки через дві критичні вразливості — CVE-2026-109618 та CVE-2026-109619. Вони можуть дозволити виконання стороннього коду на сервері без пароля. 24 жовтня TechCrunch повідомив, що ризик стосується великої кількості сайтів, які працюють на PHP.

Що сталося

PHP — мова програмування, на якій працюють численні вебсайти, зокрема створені на WordPress. Помилки отримали спільну назву PHP2Shell. За повідомленням розробників PHP, небезпечні сценарії можуть виникати під час обробки вебзапитів, а не лише після входу користувача до адміністративної панелі.

Вразливості стосуються різних способів запуску PHP на сервері, серед яких PHP-FPM, Apache, php-cgi та LiteSpeed. Однак це не означає, що кожен сайт уже зламано: фактичний ризик залежить від версії, конфігурації та встановлених виправлень.

Які версії потрібно встановити

Офіційна рекомендація — перейти щонайменше на PHP 8.5.12, 8.4.27, 8.3.36 або 8.2.35 відповідно до своєї гілки. Для старіших версій потрібно уточнювати наявність захисних виправлень у постачальника системи або переходити на підтримувану версію.

Розробники наголошують: зміни конфігурації можуть лише частково зменшити ризик. Повноцінним рішенням є встановлення виправленого PHP. Тому покладатися виключно на захисний плагін WordPress чи брандмауер не варто.

Чим підтверджена небезпека

Офіційне оголошення PHP називає обидві помилки критичними та рекомендує оновлення без зволікань. Незалежне попередження CERT-EU від 21 жовтня 2026 року також підтверджує ризик віддаленого виконання коду без автентифікації та зазначає, що технічні демонстрації експлуатації вже поширюються. Це не свідчить, що кожен сайт на вразливій версії зламано, але означає, що відкладати встановлення виправлень небезпечно.

Важлива відмінність: оновлення плагінів, теми або самого WordPress не виправляє помилки у виконуваному середовищі PHP. Якщо адміністратор не керує сервером, потрібно звернутися до хостинг-провайдера й уточнити версію або наявність офіційно застосованого виправлення.

Що робити власникам сайтів в Україні

Насамперед перевірте версію PHP у панелі хостингу або в розділі «Інструменти → Здоров’я сайту» WordPress. Якщо використовується, наприклад, PHP 8.5.11, потрібне оновлення до виправленої версії. Перед зміною варто створити резервну копію та перевірити сумісність теми й плагінів.

На звичайному віртуальному хостингу встановлення патча часто залежить від провайдера. Якщо нової версії немає в панелі, зверніться до підтримки та запитайте, чи вже застосовано виправлення для цих двох CVE. Саме оновлення WordPress не замінює оновлення PHP на сервері.

Після зміни версії перевірте відкриття сторінок, роботу форм і адміністративної панелі. Це особливо важливо для сайтів із реєстрацією користувачів та інтернет-магазинів.

Джерела

PHP.net — офіційне повідомлення про критичні вразливості, 21 жовтня 2026 року; TechCrunch — матеріал від 24 жовтня 2026 року.

Джерело головного зображення: Автор: Cvvaecc; Wikimedia Commons; CC BY 4.0.

Читайте також