1. Что произошло
21 октября команда разработки PHP выпустила экстренное обновление безопасности. Оно закрывает две критические уязвимости в ядре PHP — CVE-2026-109618 и CVE-2026-109619, обе с оценкой 9.2 из 10 по шкале CVSS v4.0 («критический» уровень). Это уязвимости класса RCE: при успешной атаке злоумышленник может выполнить произвольный код на сервере. Уязвимость находится в самом интерпретаторе PHP, а значит, затрагивает любые сайты и приложения на PHP: WordPress, WooCommerce, Drupal, Bitrix, самописные проекты.
В ispmanager оперативно выпустили патчи не только для актуальных версий PHP, но и для устаревших — вплоть до PHP 5.4. Мы знаем, что многие проекты до сих пор работают на старых версиях PHP. Перейти на новую ветку быстро получается не всегда, поэтому мы сами адаптировали патчи для устаревших версий — вплоть до PHP 5.4. Сборки готовы и для актуальных, и для старых веток, так что их уже можно использовать.
Рассказываем, что нужно знать и как защитить свои проекты.
2. Что делать пользователям ispmanager
Установите обновления для PHP в ispmanager.
Сборки для актуальных версий PHP
8.2.35-1781
8.3.36-1781
8.4.27-1781
8.5.12-1781
Сборки для неподдерживаемых версий PHP
5.4.45-1794
5.5.38-1794
5.6.40-1786
7.0.33-1786
7.1.33-1786
7.2.34-1786
7.3.33-1786
7.4.33-1782
8.0.30-1782
8.1.34-1782
Нативные версии PHP с поддержкой модуля лимитирования для AlmaLinux 9/10:
8.0.30-8.el9.alma.1.857351
8.3.36-1.el10.857351
Как обновить версии PHP в ispmanager, подробно рассказали в Базе знаний. Если вам нужна помощь, наша техподдержка рада ответить.