Разработчики языка программирования PHP представили внеплановые обновления безопасности для всех поддерживаемых линеек (php.net). Релизы PHP 8.5.12, 8.4.27, 8.3.36 и 8.2.35 закрывают критические уязвимости с идентификаторами CVE-2026-109618 и CVE-2026-109619. По заявлению команды проекта, найденные ошибки позволяют реализовать удаленное выполнение произвольного кода на сервере без необходимости предварительной аутентификации (php.net).
Какие серверные конфигурации затронуты проблемой
Разработчики подчеркивают, что обнаруженные риски касаются любых типовых веб-окружений, обрабатывающих входящие пользовательские запросы (php.net). В этот перечень входят менеджер процессов PHP-FPM, классический модуль Apache mod_php, шлюз php-cgi, а также серверы FrankenPHP и LiteSpeed (php.net). При этом наибольший уровень опасности команда связывает с Apache с mod_php, где запуск эксплойта возможен еще до начала фактической обработки кода веб-приложения (php.net).
Для надежной защиты корпоративной веб-инфраструктуры техническим командам важно регулярно аудировать конфигурации серверов. Ранее редакция рассказывала об ответственности за безопасность систем в обзоре Статья 79 КоАП РК: штрафы за нарушения с персональными данными в 2026 году.
Рекомендации сообщества и пользователей WordPress
Команда CMS WordPress опубликовала разъяснение, в котором отметила, что дефект находится непосредственно в ядре интерпретатора PHP и не является специфическим для самой платформы управления контентом (wordpress.org). В связи с этим отдельный релиз WordPress выпускаться не будет. Владельцы сайтов могут проверить установленную версию PHP в панели управления хостингом либо через панель WordPress по пути «Инструменты» → «Здоровье сайта» → «Информация» → «Сервер» (wordpress.org).
WordPress отмечает, что хостинг-провайдер может уже заниматься обновлением PHP и внедрением правил WAF; владельцу сайта всё равно следует проверить обновления у своего хостинга (wordpress.org). Тем не менее, владельцам веб-ресурсов необходимо проверить системные уведомления своих операторов. Для самостоятельно администрируемых виртуальных и выделенных серверов на базе устаревших сборок до версии 8.2 эксперты советуют рассмотреть временное отключение веб-сервисов до полной установки свежих пакетов (wordpress.org).
Цифровые сервисы и государственные порталы Казахстана традиционно предъявляют строгие требования к надежности серверных узлов. Архитектурные особенности отечественных цифровых платформ анализировались в статье BTS Digital: кто стоит за Aitu и почему госорганы обязаны им пользоваться.
Что это значит для читателя
Создатели проекта заявляют, что единственным исчерпывающим решением проблемы является своевременный переход на обновленные версии (php.net). Дистрибутивы Linux и поставщики систем с долгосрочной поддержкой LTS получили патчи заблаговременно (php.net). Временные меры и правила WAF способны снизить вероятность отдельных путей атаки, однако не устраняют саму уязвимость полностью (php.net).
