Уязвимость в PHP, позволяющая выполнить любой код удаленно

По имеющейся в сети информации, недавние уязвимости CVE-2026-109618 и CVE-2026-109619 позволяют злоумышленникам выполнить на веб-сервере с PHP любой php-скрипт удаленно, зная раскладку структур PHP в памяти процессора.

Этим уязвимостям подвержены все версии PHP начиная с версии 5.4!

На текущий момент разработчиками анонсировано обновление безопасности, которое будет опубликовано 21.10.2026 в 17:00 по московскому времени.

Не используйте сторонние исправления кроме официального обновления PHP!

В качестве временного решения, до фактического обновления каждой версии PHP на вашем сервере, необходимо выполнить следующее:

Для каждой версии PHP в конфигурационный файл php.ini добавить строку:
```
session.upload_progress.enabled = off
```
Для каждой версии PHP, в режиме PHP-FPM, в конфигурационный файл php.ini для PHP-FPM добавить строку:
```
php_admin_flag[session.upload_progress.enabled] = off
```

Заблокировать multipart-запросы на веб-сервере, добавив следующее правило:

if ($http_content_type ~* "multipart") {
return 403;
}

RewriteCond %{HTTP:Content-Type} multipart [NC]
RewriteRule ^ - [F,L]

@multipart header_regexp Content-Type (?i)multipart
respond @multipart 403

Обязательно перезагрузите веб-сервер для применения нового правила:
```
systemctl nginx restart
```
Для Debian-based систем:
```
systmectl apache2 restart
```
Для RHEL-based систем:
```
systmectl httpd restart
```
```
systemctl caddy restart
```