Какая уязвимость PHP требует обновления?
PHP — серверный язык, на котором работают сайты и приложения. 21 октября его разработчики закрыли две критические уязвимости, которые при определённых условиях позволяют выполнить чужой код на сервере без входа в аккаунт. Для поддерживаемых веток выпущены PHP 8.5.12, 8.4.27, 8.3.36 и 8.2.35.
PHP — программная среда, на которой работает множество сайтов и веб-приложений. Владелец магазина может никогда не видеть её настроек, хотя от неё зависит работа страниц, корзины и личного кабинета. Поэтому сообщение об обновлении касается и обычных сайтов компаний.
В официальном предупреждении PHP перечислены разные способы обслуживания веб-запросов, включая PHP-FPM и Apache с mod_php. Условие уязвимости нельзя свести к одной CMS (системе управления сайтом) или одному плагину.
Название движка сайта помогает определить, что проверять. WordPress и 1С-Битрикс используют PHP. У других решений устройство может отличаться. Если вы не знаете, на чём собран сайт, спросите подрядчика или хостинг. Базовые различия и состав работ объясняем в статье о стоимости сайта.
Какие версии PHP содержат исправления?
Для веток 8.5, 8.4, 8.3 и 8.2 исправленные выпуски — 8.5.12, 8.4.27, 8.3.36 и 8.2.35 соответственно. Если PHP поставляет дистрибутив или хостинг, он может перенести исправление в свой пакет; тогда требуется подтверждение поставщика.
| Ветка PHP | Выпуск с исправлением |
|---|---|
| 8.5 | 8.5.12 |
| 8.4 | 8.4.27 |
| 8.3 | 8.3.36 |
| 8.2 | 8.2.35 |
В материале PHP Foundation объясняется, почему исправление потребовало серьёзной работы над внутренним устройством PHP. Это не обновление оформления и не необязательное расширение функций.
Для PHP 8.1 и более старых веток обычная поддержка проекта уже завершена. В официальном предупреждении упомянуты поставщики долгой поддержки и ограниченные исходные исправления для старых веток. Не считайте старый сайт защищённым без конкретного ответа о его пакете.
Что написать в поддержку хостинга?
Попросите проверить PHP именно того сайта, который доступен посетителям, подтвердить установку исправлений от 21 октября и перезапуск обслуживающих процессов. Одного ответа «CMS обновлена» для этого недостаточно.
Можно отправить такое сообщение:
Проверьте, пожалуйста, исправлены ли на моём сайте две критические уязвимости PHP из предупреждения от 21.10.2026. Укажите активную версию PHP для веб-запросов или пакет поставщика с перенесённым исправлением. Подтвердите, что обновление применено и обслуживающие процессы используют новый код.
Укажите адрес сайта и нужный тариф хостинга. Если у вас несколько проектов, попросите перечислить их отдельно: на одном аккаунте могут работать разные версии PHP.
Не меняйте случайные настройки из форумов. Разработчики прямо пишут, что временные меры уменьшают отдельные способы атаки, но не заменяют обновление. Особенно не стоит наугад снимать ограничения памяти на рабочем сервере.
Что проверить после обновления PHP?
Проверьте главные действия посетителя: открытие страницы, отправку формы, заказ и доступ в личный кабинет, если он есть. Затем попросите администратора посмотреть ошибки. Зелёная отметка обновления не доказывает, что все сценарии сайта сохранились.
Для магазина начните с просмотра товара и прохождения заказа до безопасного этапа без реального списания. Для сайта услуг отправьте согласованную тестовую заявку и убедитесь, что она дошла. На сайте-визитке важно проверить контакты и переходы к связи.
Сохраните ответ хостинга с номером пакета и датой. Так у вас будет понятное подтверждение выполненной работы, а не только сообщение «всё нормально». Если сайт обслуживает подрядчик, попросите его принять результат по тем же действиям.
Редакция советует решать эту задачу через ответственного за сервер. Срочность обновления не означает, что предпринимателю нужно самому учиться менять серверные пакеты. От владельца нужны адреса проектов, запрос подтверждения и проверка результата для посетителя.
