+7 499-117-00-31
Критические уязвимости PHP · 21.10.2026

Устраним критические
уязвимости PHP

Обновим PHP на серверах и в контейнерах, поможем с legacy-версиями и проверим признаки компрометации. Сначала — NDA и план безопасного обновления.

Заказать срочное обновлениеКак проверить себя

CVE-2026-109618 / CVE-2026-109619

В ядре PHP, с риском удалённого выполнения кода
2 уязвимости
Для атаки не нужен вход в приложение
Без авторизации
Проверяем актуальные и устаревшие ветки
8.2–8.5 и legacy
Временные меры не заменяют исправление
Нужно обновление

Две уязвимости
в самом интерпретаторе PHP

Проблема в ядре PHP. Одной правки в
Laravel или Symfony недостаточно.
01
CVE-2026-109618

Повреждение памяти при нехватке ресурсов

При нехватке памяти PHP может прервать обработку запроса с частично подготовленными данными. Последующая очистка обращается к некорректной памяти. Это может привести к удалённому выполнению кода.
02
CVE-2026-109619

Состояние запроса сохраняется после освобождения памяти

Внутренние данные запроса могут остаться в рабочем процессе после освобождения их памяти. Следующий запрос обращается к устаревшему состоянию — возникает use-after-free и риск выполнения кода.

Проверено 22.10.2026 · Источники: бюллетень PHP, GHSA-w8hw-w9fx-j79w, GHSA-6wmf-4rv5-p3rp.

Проверьте каждый PHP,
который принимает веб-запросы

Режимы запуска PHP

Apache + mod_phpНаибольший риск
PHP-FPMТребуется обновление
php-cgiТребуется обновление
FrankenPHPТребуется обновление
LiteSpeed / LSAPIТребуется обновление

Для mod_php подтверждена атака до запуска кода приложения. Возможность эксплуатации зависит от режима и конфигурации.

Версии с исправлениями

Ветка PHPИсправление
8.5.x8.5.12 и новее
8.4.x8.4.27 и новее
8.3.x8.3.36 и новее
8.2.x8.2.35 и новее
7.4 / 8.0 / 8.1Бэкпорт или миграция

У пакетов дистрибутивов исправление может быть перенесено без изменения основной версии. Проверяем бюллетень поставщика и ревизию пакета.

Проверяйте PHP веб-сервера,
а не только версию в консоли

CLI, FPM-пулы и Docker-образы могут использовать разные сборки.
Обновление хоста не обновляет PHP внутри контейнера.

Проверка установок PHP

# CLI — это только первая проверка

$ php -v

 

# Версия установленного FPM-бинарника

$ php-fpm8.3 -v

 

# PHP в работающем контейнере

$ docker exec CONTAINER php -v

 

# Затем сверить активный веб-процесс,

# источник пакета и бюллетень поставщика

01

Сверьте версию и сборку

Для официальных сборок — с таблицей выше. Для пакетов ОС — с бюллетенем и changelog поставщика.
02

Проверьте рабочее окружение

Убедитесь, что обновлён именно активный FPM-пул или модуль Apache. Одна команда php -v этого не подтверждает.
03

Не забудьте legacy

Для PHP 7.4–8.1 проверяем доступность бэкпорта, сборку поставщика или переход на поддерживаемую ветку.

От первого обращения
до отчёта об устранении

Согласуем план, проверим совместимость и зафиксируем результат.

NDA и доступы

01

Подписываем соглашение до передачи доступов. Работаем через ваш VPN и по регламентам ИБ.

Инвентаризация

02

Находим PHP на серверах, в FPM-пулах, контейнерах и тестовых средах. Фиксируем версии и источники пакетов.

Обновление

03

Проверяем на тестовом стенде, готовим откат и обновляем рабочую среду. При наличии резервирования — поэтапно, без остановки сервиса.

Работа с legacy

04

Для PHP 7.4–8.1 оцениваем бэкпорт исправления или миграцию. Проверяем совместимость приложения.

Временная защита

05

Если обновление требует подготовки, согласуем меры снижения риска. Они не заменяют исправление PHP.

Проверка и отчёт

06

Проверяем ключевые сценарии, логи и признаки вторжения. Передаём список изменений и оставшихся рисков.

Четыре формата
под вашу инфраструктуру

Fixed Price или T&M с лимитом бюджета.
Стоимость и сроки — после
инвентаризации.

ОДНО ПРИЛОЖЕНИЕ

Экспресс

Один сервер или один проект

По результатам оценки

Срок 2ч

  • Версия и режим запуска PHP
  • Обновление и перезапуск
  • Проверка ключевых сценариев
  • Короткий отчёт
Получить оценку
СЕРВЕРЫ И КОНТЕЙНЕРЫ

Инфраструктура

Несколько серверов, Docker и CI/CD

от 25000₽

от 4ч

  • Полная инвентаризация PHP
  • Обновление серверов и пулов
  • Пересборка Docker-образов
  • Поиск признаков компрометации
  • Подробный отчёт для ИБ
Оценить работы
УСТАРЕВШИЕ ВЕРСИИ

Legacy

PHP 7.4, 8.0 и 8.1

от 20000₽

от 2ч

  • Оценка и проверка бэкпорта
  • Временные меры защиты
  • План миграции
  • Оценка рефакторинга
Обсудить legacy
ПОСЛЕ ОБНОВЛЕНИЯ

Сопровождение

Регулярные обновления и поддержка

По согласованному SLA

Объём и реакция — 4ч

  • Мониторинг бюллетеней
  • Обновления стека
  • Поддержка по SLA
  • Периодические отчёты
Обсудить SLA

Срок начала срочных работ подтвердим после оценки инфраструктуры и согласования доступов.

Знаем PHP и учитываем риски рабочего окружения

От конфиденциального доступа до передачи результатов вашей команде.
NDA до старта
Согласуем конфиденциальность до передачи технических деталей и доступов.
01
Работа в вашем контуре
Подключаемся через VPN заказчика и соблюдаем внутренние регламенты защиты данных.
02
Опытные PHP-инженеры
Учитываем зависимости приложения и проверяем ключевые сценарии после обновления.
03
Поддержка после работ
Можем продолжить сопровождение системы. Объём поддержки и время реакции фиксируем в SLA.
04
Расскажите, где у вас работает PHP
Технический специалист уточнит инфраструктуру и предложит план обновления, сроки и стоимость.
NDA до передачи доступов. Пароли и ключи в заявке не нужны.
Технический специалист уточнит инфраструктуру и предложит план обновления, сроки и стоимость.
NDA до передачи доступов. Пароли и ключи в заявке не нужны.
0 / 800 симв.
Файл

Частые вопросы

Можно ли защититься без обновления PHP?

Полноценно нет. Команда PHP прямо пишет, что надёжных обходных мер не существует. Временные настройки из бюллетеня (лимиты памяти, фильтрация multipart-запросов на фронтенде) снижают риск, но не закрывают уязвимость. Мы применяем их только как меру на время, пока готовится обновление.

У нас PHP 7.4 или 8.1. Это надолго?

Не обязательно. Для этих веток команда PHP выпустила минимальные бэкпорты в исходниках. Мы соберём и выкатим пропатченный PHP, а уже потом спокойно спланируем миграцию на поддерживаемую версию.

Обновление что-то сломает?

В пределах одной ветки (например, 8.3.x → 8.3.36) это security-релиз, и обратная совместимость обычно сохраняется. Всё равно сначала прогоняем обновление на staging и делаем смоук-тесты ключевых сценариев. На проде выкатываем поочерёдно и с возможностью отката.

Как понять, что нас уже не взломали?

Атака не требует авторизации, поэтому мы проверяем логи веб-сервера на аномальные multipart-запросы и всплески OOM, ищем веб-шеллы, новые cron-задачи, неожиданные процессы и изменённые файлы. Найдём признаки компрометации — подключим реагирование на инцидент.

Мы на shared-хостинге или в облаке с managed PHP

Обновлять PHP в этом случае должен провайдер. Мы проверим, какую сборку вы реально получаете, подготовим запрос провайдеру и при необходимости поможем перенести проект на VPS или в Kubernetes, где версия под вашим контролем.