Критические уязвимости PHP в 2026 году: как проверить и защитить сайт

21 октября 2026 года разработчики PHP выпустили экстренные обновления безопасности, устраняющие две критические уязвимости — CVE-2026-109618 и CVE-2026-109619. Обе получили оценку опасности 9,2 из 10. При определённых условиях злоумышленники могут использовать их для выполнения кода на сервере без авторизации.

Это важно не только для программистов. PHP используется в работе множества корпоративных сайтов, интернет-магазинов и веб-сервисов. Если сервер использует уязвимую сборку, под угрозой могут оказаться данные и работоспособность сайта. При этом сам факт использования WordPress, Битрикс или другой CMS ещё не означает, что сайт уязвим: необходимо проверить установленный PHP и наличие исправлений.

Разберём, какие версии требуют внимания, как проверить свой сайт, что делать клиентам хостингов и почему обновление лучше проводить с проверкой совместимости.

Что произошло: две критические уязвимости PHP

Разработчики PHP сообщили о двух ошибках безопасности в самом интерпретаторе языка, а не в отдельном плагине или шаблоне:

• CVE-2026-109618 — ошибка обработки состояния PHP при нехватке памяти. В определённых условиях она может привести к повреждению внутреннего состояния и выполнению вредоносного кода.
• CVE-2026-109619 — ошибка работы с внутренним состоянием запросов и уже освобождённой памятью. Она также может создать условия для удалённого выполнения кода.

Такие проблемы особенно опасны тем, что затрагивают серверный компонент, через который обрабатываются запросы к сайту. В отдельных конфигурациях атака может происходить ещё до выполнения кода самого веб-приложения.

Официальный источник: сообщение команды PHP от 21 октября 2026 года. Разработчики рекомендуют устанавливать исправления без промедления.

Какие версии PHP уязвимы и какие обновления нужны

Для поддерживаемых веток PHP опубликованы следующие исправленные релизы:

Ветка PHP	Исправленная версия	Что проверить
PHP 8.5	8.5.12 и новее	Установлено ли обновление безопасности
PHP 8.4	8.4.27 и новее	Установлено ли обновление безопасности
PHP 8.3	8.3.36 и новее	Установлено ли обновление безопасности
PHP 8.2	8.2.35 и новее	Установлено ли обновление безопасности
PHP 8.1 и старее	Официальных исправлений от проекта PHP нет	Есть ли патч от поставщика или требуется переход на поддерживаемую ветку

Важный нюанс: Linux-дистрибутивы и хостинг-провайдеры иногда переносят исправления безопасности в свои сборки PHP без изменения видимого номера версии до последнего официального релиза. Поэтому по одному номеру не всегда можно сделать окончательный вывод. Если хостинг сообщает об установке патчей для обеих CVE, уточните, к каким серверам и сборкам относится это сообщение.

PHP 8.1 и более старые версии не получают такие исправления напрямую от команды PHP. Для них особенно важно подтвердить поддержку и патчи у поставщика серверного ПО либо спланировать переход на поддерживаемую версию.

Какие CMS и сайты могут оказаться под угрозой

Уязвимости находятся на уровне PHP, поэтому список не ограничивается одной системой управления сайтом. Проверка актуальна для проектов, использующих PHP, в том числе:

• WordPress — корпоративные сайты, блоги, лендинги и сайты с индивидуальными темами.
• WooCommerce — интернет-магазины на WordPress.
• 1С-Битрикс — корпоративные сайты, каталоги и интернет-магазины.
• OpenCart — магазины с дополнительными модулями и интеграциями.
• Joomla, Drupal, MODX, CS-Cart — сайты, работающие на PHP.
• Laravel, Symfony и другие PHP-фреймворки — индивидуальные веб-приложения.
• Самописные сайты на чистом PHP — проекты без готовой CMS.

Перечень показывает распространённые варианты PHP-проектов, а не список заведомо взломанных или уязвимых сайтов. Реальный риск зависит от версии и сборки PHP, конфигурации сервера и установленных исправлений.

Обновление WordPress или другого движка само по себе не устраняет ошибки в интерпретаторе PHP. И наоборот: исправленный PHP не заменяет регулярные обновления CMS, плагинов и модулей.

Как проверить версию PHP на своём сайте

Способ 1. Через панель хостинга

1. Авторизуйтесь в панели управления хостингом.
2. Найдите раздел PHP, «Версия PHP», «Управление PHP» или настройки конкретного сайта.
3. Посмотрите, какая версия назначена нужному домену.
4. Проверьте уведомления хостинга об исправлениях CVE-2026-109618 и CVE-2026-109619.
5. Если информация неясна, запросите у поддержки подтверждение, что используемая сборка защищена.

Названия пунктов меню отличаются у Beget, Timeweb и других провайдеров. На VPS и выделенных серверах управление обновлениями может находиться полностью на стороне администратора.

Способ 2. Через WordPress

1. Войдите в административную панель WordPress.
2. Откройте «Инструменты» → «Здоровье сайта».
3. Перейдите на вкладку «Информация».
4. Раскройте раздел «Сервер» и найдите версию PHP.

Эта проверка показывает версию PHP, но не подтверждает наличие всех патчей от хостинга. Для окончательной проверки состояния безопасности при необходимости обратитесь к провайдеру.

Способ 3. Для сайтов без CMS

Если проект написан на чистом PHP или использует фреймворк, версию можно узнать в панели сервера, через средства администрирования или по выводу команды php -v. Учтите, что версия PHP для командной строки может отличаться от версии, которая обрабатывает запросы сайта. Проверять необходимо именно рабочее веб-окружение.

Не публикуйте в открытом доступе диагностические страницы с подробными настройками PHP: они могут раскрывать техническую информацию о сервере.

Что делать, если сайт размещён на Beget или другом хостинге

Не всегда владельцу сайта нужно вручную переключать PHP. На управляемом виртуальном хостинге исправления могут устанавливать централизованно.

Пример с Beget. 22 октября 2026 года в панели виртуального хостинга Beget появилось уведомление о том, что работы по устранению CVE-2026-109618 и CVE-2026-109619 завершены, все доступные в панели версии PHP обновлены, а дополнительные действия от клиентов не требуются. Это относится к указанному провайдером виртуальному хостингу и не означает автоматически, что исправлены любые самостоятельно администрируемые VPS.

Если ваш хостинг подтвердил установку исправлений, не нужно ради этих двух уязвимостей без причины менять ветку PHP. Однако стоит проверить основные функции сайта и продолжать плановое обновление программного обеспечения.

Если подтверждения нет, отправьте в поддержку короткий запрос:

Здравствуйте! Подскажите, установлены ли на сервере моего сайта исправления для CVE-2026-109618 и CVE-2026-109619? Какая сборка PHP фактически используется для обработки веб-запросов и нужны ли действия с моей стороны?

Почему обновление PHP может нарушить работу сайта

Установка исправления безопасности и переход на новую основную или промежуточную версию PHP — не всегда одно и то же. Небольшой патч в пределах поддерживаемой ветки обычно менее рискован, чем переход, например, с PHP 7.4 на PHP 8.4. Но любое изменение рабочего окружения требует внимания.

На сайтах со старыми темами, плагинами и самописными доработками после смены версии PHP могут возникнуть следующие проблемы:

• Формы заявок. Сообщение об отправке отображается, но данные не передаются в CRM или на почту.
• Интернет-магазин. Нарушается работа корзины, расчёта доставки, оплаты или оформления заказа.
• Личный кабинет. Возникают ошибки авторизации, регистрации и восстановления пароля.
• Плагины и модули. Устаревший код использует функции или способы обработки данных, несовместимые с новой веткой PHP.
• Самописные интеграции. Перестают работать обмены с 1С, внешними API, складскими системами или CRM.
• Отдельные страницы. Появляются ошибки 500, пустой экран или сообщения о фатальной ошибке.

Поэтому правильная стратегия — не откладывать защиту, а проводить обновление с резервным копированием, проверкой совместимости и тестированием.

Как безопасно обновить PHP: пошаговый порядок

1. Уточнить, требуется ли обновление. Проверить текущую сборку и наличие патчей у хостинга. Если исправления уже установлены, экстренная смена версии может не понадобиться.
2. Создать резервную копию. Сохранить файлы сайта и базу данных, убедиться, что копию можно восстановить.
3. Проверить совместимость. Посмотреть требования CMS, темы, плагинов, модулей и индивидуального кода к версии PHP.
4. По возможности использовать тестовую копию. Сначала выполнить обновление на стенде, не затрагивая действующий сайт.
5. Установить исправленную сборку PHP. При переходе между ветками учитывать рекомендации разработчиков CMS и поставщика хостинга.
6. Проверить критичные сценарии. Открытие страниц, отправку форм, работу поиска, корзины, оплаты, личного кабинета, интеграций и административной панели.
7. Проверить журналы ошибок. Убедиться, что после обновления не появились новые критические сообщения.
8. Зафиксировать результат. Сохранить сведения о версии PHP, выполненных изменениях и проверенных функциях.

Если исправления ещё не установлены и сайт потенциально уязвим, тестирование не должно превращаться в причину для длительной отсрочки защиты. Согласуйте с администратором безопасный и оперативный порядок работ.

Что делать, если после обновления PHP сайт перестал работать

Прежде всего не вносите хаотичные изменения в рабочие файлы. Зафиксируйте ошибку и время её появления, проверьте журнал PHP и логи веб-сервера. Часто причина находится в несовместимом плагине, устаревшей теме или индивидуальной доработке.

Если проблема мешает работе бизнеса, специалист должен определить неисправный компонент, подобрать совместимое исправление и восстановить функции сайта. Возврат на заведомо уязвимую версию PHP нельзя считать полноценным решением: он может временно вернуть работоспособность, но снова открыть известную угрозу.

Если нужна помощь с восстановлением функций, посмотрите нашу услугу доработки сайтов. Для регулярных проверок, обновлений и контроля работоспособности подойдёт техническая поддержка сайтов.

Как понять, что сайт уже взломали

Наличие уязвимой версии PHP само по себе не доказывает взлом. Но если есть подозрения на компрометацию, необходимо проверить серверные журналы, изменения файлов, неизвестные учётные записи, подозрительные задания по расписанию и необычную активность.

Признаками проблемы могут быть незнакомые перенаправления, новые файлы без объяснимой причины, неизвестные администраторы, массовые рассылки или резкие изменения в работе сайта. Ни один из этих признаков не является самостоятельным доказательством использования именно CVE-2026-109618 или CVE-2026-109619.

Если взлом вероятен, важно не только установить патч, но и провести расследование, сохранить необходимые журналы, удалить вредоносные изменения и проверить доступы. Простое обновление PHP не удаляет уже установленный злоумышленником код.

Поможем проверить PHP и безопасно обновить сайт

В веб-студии СайтыиДизайн.рф мы работаем с сайтами на CMS и индивидуальными доработками. Можем помочь определить, какое PHP-окружение использует сайт, проверить необходимость обновления, подготовить резервную копию, разобраться с совместимостью и протестировать основные функции после изменений.

Особенно важно привлекать разработчика, если сайт давно не обновлялся, содержит нестандартные плагины или интеграции, а ошибка в корзине или форме заявки напрямую влияет на продажи.

Подробнее о технической поддержке сайтов или оставьте заявку, чтобы обсудить задачу.

Частые вопросы об уязвимостях PHP

Если сайт работает на WordPress, он обязательно уязвим?

Нет. WordPress использует PHP, но наличие конкретных уязвимостей зависит от сборки PHP на сервере и установленных исправлений. Нужно проверить окружение, а не делать вывод по названию CMS.

Достаточно ли обновить WordPress и плагины?

Нет. Описанные уязвимости находятся в самом PHP. Обновления CMS и плагинов важны для общей безопасности, но не заменяют исправление серверного интерпретатора.

Если хостинг уже установил исправления, нужно ли менять PHP вручную?

Для устранения именно этих двух уязвимостей — не обязательно. Сначала убедитесь, что уведомление хостинга относится к вашему тарифу и серверу. Плановый переход с устаревшей ветки PHP всё равно может понадобиться по другим причинам.

Можно ли узнать об уязвимости по версии PHP в WordPress?

Версия PHP — полезная отправная точка. Но хостинг или поставщик Linux может устанавливать исправления в свою сборку без изменения отображаемого номера. При сомнениях запросите подтверждение о патчах для обеих CVE.

Что делать, если сайт работает на PHP 7.4?

Эта ветка больше не поддерживается командой PHP. Уточните, предоставляет ли ваш поставщик актуальные исправления безопасности, и спланируйте переход на поддерживаемую версию. Перед миграцией потребуется проверка совместимости сайта.

Может ли обновление PHP сломать интернет-магазин?

Да, если установленная CMS, модули оплаты, доставки или индивидуальный код несовместимы с новой веткой PHP. Поэтому важны резервная копия, тестовая среда и проверка оформления заказа после обновления.

Если обновление установлено, значит ли это, что сайт точно не взломан?

Нет. Патч закрывает известную уязвимость, но не подтверждает отсутствие предыдущего взлома. При подозрительных признаках нужна отдельная проверка безопасности.

Итоги

Критические уязвимости PHP, раскрытые 21 октября 2026 года, требуют оперативной проверки серверного окружения. Владельцам сайтов важно выяснить, установлены ли исправления для CVE-2026-109618 и CVE-2026-109619, и не путать обновление PHP с обновлением CMS.

Если хостинг уже закрыл уязвимости, экстренно менять версию PHP может быть не нужно. Если исправлений нет, откладывать защиту опасно. При этом переход на новую ветку PHP лучше выполнять с проверкой совместимости, чтобы сохранить работоспособность форм, интернет-магазина и интеграций.

Материал подготовлен 22 октября 2026 года. Информация о версиях и исправлениях может обновляться; сверяйтесь с официальными сообщениями PHP и вашего хостинг-провайдера.