Команда розробників мови програмування PHP випустила позачерговий пакет оновлень безпеки для усунення двох критичних вразливостей у ядрі інтерпретатора. Проблеми отримали офіційні ідентифікатори CVE-2026-109618 та CVE-2026-109619. За міжнародною шкалою оцінювання загроз CVSS 4.0 обидві помилки мають дуже високий рівень небезпеки на рівні 9.2 бала з 10 можливих.
Оскільки на базі PHP працюють мільйони вебсайтів, включно з популярними системами керування контентом на кшталт WordPress, OpenCart, Joomla та Drupal, вихід цих виправлень є однією з найважливіших подій осені для вебмайстрів і системних адміністраторів.
Трохи раніше ми писали про Термінове оновлення безпеки PHP
Технічна суть проблеми за офіційними даними
Згідно з офіційними повідомленнями групи безпеки PHP та бюлетенем європейського центру реагування на кіберінциденти CERT-EU (Security Advisory 2026-018), виявлені дефекти створюють ризик віддаленого виконання довільного коду (Remote Code Execution або RCE).
Головна небезпека полягає в тому, що потенційна атака здійснюється через мережу і не вимагає від зловмисника попередньої авторизації, логіна чи пароля адміністратора. Уразливість пов’язана з обробкою зовнішніх запитів та керуванням пам’яттю сервера під час передачі даних. Якщо сервер працює на неоновленій версії програмного забезпечення, спеціально сформований HTTP запит може викликати помилку пам’яті та дозволити запуск сторонніх команд безпосередньо на хостингу.
Які версії PHP потребують оновлення та як діяти
Офіційні патчі безпеки вже опубліковані у відкритому доступі для всіх актуальних гілок підтримуваного програмного забезпечення (починаючи з гілки PHP 8.2 і вище). Європейські регулятори з кібербезпеки та самі розробники наголошують на необхідності якнайшвидшого встановлення актуальних збірок на всіх серверах, які мають прямий доступ до мережі інтернет.
Для власників вебсайтів та адміністраторів алгоритм дій залежить від типу інфраструктури:
- Користувачам віртуального хостингу (Shared Hosting): Переважна більшість комерційних хостинг провайдерів оновлюють серверне програмне забезпечення централізовано в автоматичному режимі. Достатньо зайти в панель керування хостингом і перевірити, щоб для вашого домену була обрана актуальна підтримувана гілка PHP 8, або уточнити статус встановлення жовтневих патчів у служби технічної підтримки.
- Власникам віртуальних та виділених серверів (VPS / Dedicated): Системним адміністраторам необхідно оновити пакети PHP через стандартний менеджер пакетів операційної системи (Ubuntu, Debian, RHEL) або перезібрати робочі контейнери Docker із використанням свіжих базових образів з офіційного репозиторію. Після завантаження оновлень обов’язково потрібно перезапустити службу вебсервера або процес PHP FPM для фактичного застосування змін.
- Проєктам на застарілих версіях (PHP 7.x, 8.0, 8.1): Якщо сайт досі працює на архівних версіях, які офіційно зняті з регулярної підтримки, CERT-EU рекомендує негайно спланувати міграцію на сучасну версію платформи. У випадках, коли швидке оновлення неможливе через специфіку старого коду, адміністраторам радять обмежити приймання зовнішніх файлових запитів на рівні мережевого екрана (WAF) та вимкнути у файлі конфігурації директиву session.upload_progress.enabled, встановивши для неї значення Off.
Офіційні першоджерела та документація
Перевірити номери актуальних випусків, завантажити вихідні коди виправлень та ознайомитися з офіційними рекомендаціями з безпеки можна безпосередньо на ресурсах розробників та міжнародних центрів кібербезпеки:
