PHP выпускает экстренный патч двух критических RCE в ядре: CVE-2026-109618 и CVE-2026-109619

21 октября 2026 года в 14:00 UTC (17:00 МСК) команда безопасности PHP выпускает внеплановый релиз, закрывающий две критические уязвимости удалённого выполнения кода в ядре PHP — CVE-2026-109618 и CVE-2026-109619, обе с оценкой CVSS v4.0 9.2. По данным исследователей, затронуты все версии начиная с PHP 5.4, то есть практически любой работающий PHP-сайт. Обновляться нужно в день выхода патча.

Для компаний, которые ведут разработку на PHP или держат на нём интернет-магазин, это не плановое обновление, а инцидентный режим: исследователи из Sansec ожидают массовых атак в течение минут после публикации исправлений. Если сайт обслуживает подрядчик, уже сегодня стоит договориться, кто и когда выкатывает обновление, — это базовая задача технической поддержки сайта.

Ниже — что известно на момент публикации, кого это касается, какие временные меры предлагают исследователи и что делать командам, у которых PHP старше 8.2.

Что объявила команда PHP

20 октября на php.net появилось предупреждение «Upcoming Critical PHP Security Release». В нём сказано, что релиз запланирован на среду, 21 октября, в 14:00 UTC и закрывает две критические уязвимости с оценкой CVSS v4.0 9.2. Пользователям PHP рекомендуют подготовиться заранее, чтобы обновиться сразу после выхода версий.

Команда PHP оставила за собой право выпустить исправления раньше, если детали уязвимостей станут публичными или появятся признаки эксплуатации. Полный список затронутых и исправленных версий будет опубликован только вместе с релизом — поэтому номера патч-версий в этой новости мы сознательно не называем.

Почему раскрытие прошло в спешке

По данным BleepingComputer, раннее предупреждение появилось после утечки: информация о проблеме всплыла на Hacker News, а исследователь Флориан Рот сообщил об RCE в ядре PHP с оценкой CVSS 10.0. Официальная оценка команды PHP ниже — 9.2 по CVSS v4.0. Изначально раскрытие планировалось позже, поэтому сроки сдвинули.

Компания watchTowr подтвердила, что воспроизвела CVE-2026-109618, но технические детали не публикует до выхода патча. На момент подготовки материала эксплуатация уязвимостей в реальных атаках не зафиксирована.

Кого касаются CVE-2026-109618 и CVE-2026-109619

Sansec оценивает, что уязвимы все веб-серверы с PHP 5.4 и новее. Отдельно исследователи упоминают e-commerce-платформы на PHP — Magento, Shopware и WooCommerce: интернет-магазины традиционно первыми попадают под массовое сканирование, потому что там есть платёжные и персональные данные.

• PHP 8.2 и новее — официально поддерживаемые ветки, исправления для них выйдут в рамках релиза.
• PHP 8.1 и старше — официального патча не будет. Нужно просить хостинг-провайдера или дистрибутив о бэкпорте исправления либо переходить на поддерживаемую версию.
• Фреймворки и CMS (Laravel, Symfony, WordPress, Битрикс и другие) уязвимость не закрывают сами по себе: проблема в интерпретаторе, поэтому обновлять нужно сам PHP на сервере и в контейнерах.

Временные меры до выхода патча

До публикации исправлений Sansec рекомендует в качестве временной защиты изменить две настройки сессий в php.ini:

• session.upload_progress.enabled = 0
• session.use_strict_mode = 1

Для PHP-FPM те же значения можно задать в конфигурации пула через php_admin_flag. Это рекомендация исследователей, а не официальная мера команды PHP: она снижает риск, но не заменяет обновление. Отключение отслеживания прогресса загрузки может затронуть интерфейсы, которые показывают процент загрузки файлов, — проверьте это на стейджинге.

Что сделать команде сегодня

1. Соберите инвентарь. Все серверы, контейнерные образы, CI-раннеры и окружения с PHP — с точной версией (php -v) и способом установки: пакет дистрибутива, Docker-образ, панель хостинга.
2. Примените временные настройки на внешних сайтах, прежде всего на интернет-магазинах и формах с загрузкой файлов.
3. Подготовьте выкатку. Заранее согласуйте окно обновления 21 октября после 17:00 МСК, обновление базовых Docker-образов и пересборку зависимых сервисов.
4. Решите вопрос с PHP 8.1 и старше. Свяжитесь с провайдером насчёт бэкпорта или запланируйте миграцию на 8.2+ — проверка совместимости кода займёт больше одного дня.
5. Усильте мониторинг. Следите за логами веб-сервера и PHP-FPM, появлением новых файлов в веб-корне и исходящими соединениями с серверов.

Часто задаваемые вопросы

Эксплуатируются ли уязвимости уже сейчас? На момент публикации сообщений об атаках нет. Но после выхода патча злоумышленники смогут сравнить изменения в исходном коде, поэтому Sansec ожидает массовых атак вскоре после релиза.

Нужно ли обновлять PHP, если сайт на WordPress или Laravel? Да. Уязвимости находятся в ядре интерпретатора, а не в CMS или фреймворке, поэтому обновлять нужно PHP на сервере.

Какие версии PHP будут исправлены? Точные номера команда PHP опубликует вместе с релизом 21 октября. Официальные исправления получат поддерживаемые ветки — 8.2 и новее.

Что делать, если обновиться сразу нельзя? Применить временные настройки сессий, ограничить доступ к административным разделам, усилить мониторинг и как можно быстрее запланировать обновление или бэкпорт исправления.

Источники

• PHP.net — Upcoming Critical PHP Security Release, 20 октября 2026 (первоисточник).
• BleepingComputer — PHP warns admins of two critical flaws, emergency patches coming tomorrow, 20 октября 2026.
• Sansec — Critical PHP RCE: CVE-2026-109618 and CVE-2026-109619, октябрь 2026.
• watchTowr — PHP Remote Code Execution FAQ: CVE-2026-109618 & CVE-2026-109619, октябрь 2026.