PHP випустив оновлення безпеки для двох критичних уразливостей CVE-2026-109618 і CVE-2026-109619. Вони стосуються інсталяцій, які обробляють вебзапити, і можуть дати зловмиснику змогу виконати код на сервері без облікових даних. Для сайту це означає ризик ще до того, як відвідувач дістанеться звичного входу чи функцій самого застосунку.
Виправлення доступні у PHP 8.5.12, 8.4.27, 8.3.36 і 8.2.35. Оновлювати потрібно саме гілку PHP, яку використовує сервер. Офіційне повідомлення PHP називає оновлення єдиним безпечним рішенням, оскільки повного тимчасового способу закрити ці вади немає.
Під ризиком PHP, що приймає вебзапити
Уразливими можуть бути сервери з PHP-FPM, Apache mod_php, php-cgi, FrankenPHP і LiteSpeed, якщо вони обслуговують запити до сайтів або вебзастосунків. Тобто важлива не лише наявність PHP на машині, а й те, чи використовується він для роботи вебсервера.
Обидві помилки належать до класу віддаленого виконання коду. Це означає, що стороння людина потенційно може змусити сервер виконати надіслані команди без попередньої автентифікації. Саме тому перевірка версії та встановлення оновлення мають значення навіть для сайтів, де доступ до адміністративної частини обмежений.
Найвищий ризик PHP зазначає для Apache mod_php
Окремо PHP вказує на вищий ризик у конфігураціях з Apache mod_php. Для цього варіанта продемонстровано спосіб експлуатації, який може спрацювати до запуску коду самого вебзастосунку. Отже, захисні перевірки, реалізовані лише всередині сайту, не замінюють оновлення PHP.
Повідомлення про ці вразливості спричинило термінові роботи з оновлення серверів, а частина організацій тимчасово зупиняла сайти на час виправлень. Для власника або адміністратора ресурсу ключове питання зараз просте: чи обробляє сервер вебзапити через PHP і чи встановлена одна з версій із виправленнями.