Критичні вразливості в PHP CVE-2026-109618 і CVE-2026-109619 закриті на всіх серверах...

21 жовтня команда PHP повідомила про дві критичні вразливості: CVE-2026-109618 і CVE-2026-109619. Обидві пов'язані з тим, як PHP працює з пам'яттю під час обробки веб-запиту.

Якщо зловмисник надсилав сайту спеціально складений запит, PHP міг заплутатись у власних службових даних. В одному випадку він використовує дані, які ще не встиг до кінця підготувати, а в іншому - дані попереднього запиту, які вже мали бути стерті. За вдалого збігу обставин це дає змогу виконати на сервері чужий код.

Тому цим вразливостям дали найвищий рівень небезпеки CVSS 9.2. Розробники PHP окремо наголосили: налаштуваннями ризик можна лише зменшити, але закриває його тільки оновлення. Приклад атаки вже з'явився у відкритому доступі. Приклад атаки вже з'явився у відкритому доступі, тому оновлення потрібно встановлювати якнайшвидше.

Що зробили ми - наші сервери оновлюються постійно, ми пильно слідкуємо за станом та безпекою наших серверів. Оновлення було встановлено на всі сервери одразу, щойно вийшли оновлення пакетів PHP. Оновлення отримала кожна версія PHP, яку можна вибрати для сайта в панелі керування хостингом.

Що робити користувачам - нічого робити додатково не потрібно. Сайти лишились на тих самих версіях PHP, які ви для них обрали. Налаштування не чіпались, переходити на іншу версію PHP прямо зараз не треба (але радимо за можливості використовувати найновіші версії PHP, якщо ваш код вже адаптований до їх використання).

Порада на майбутнє. Вразливості в PHP знаходять регулярно, і серверну частину ми оновлюємо регулярно самі. Сайт - це ще й CMS, тема та плагіни, і їх оновлювати має сам користувач (або ваш технічний спеціаліст, який підтримує роботу сайта та займається його оновленням).