Критические уязвимости октября 2026: что проверить на своём сервере
За последние недели вышли исправления сразу для нескольких широко используемых программ. Три уязвимости из этого списка уже применяются в реальных атаках. Собрали короткую сводку с тем, что нужно проверить, и подробные инструкции в базе знаний.
Наши серверы
На серверах общего хостинга и в биллинге PHP и nginx обновлены, проверено 27 октября 2026 года. Клиентам общего хостинга делать ничего не нужно. Если у вас VPS или выделенный сервер, обновления на вашей стороне — сервер в вашем управлении, и ниже самое важное.
PHP: CVE-2026-109618 и CVE-2026-109619 («PHP2Shell»)
Оценка 9.2, выполнение чужого кода без входа в систему. Агентство CISA внесло обе в перечень уязвимостей, используемых в атаках. Исправлено в PHP 8.5.12, 8.4.27, 8.3.36 и 8.2.35.
Внимание: в Ubuntu, Debian и AlmaLinux исправление переносят в старую версию, не меняя её номер. Команда php -v на исправленном сервере по-прежнему покажет 8.3.6 — проверять нужно журнал изменений пакета. Как именно, расписано в инструкции.
cPanel и WHM: CVE-2026-41940
Оценка 9.8, вход в панель без пароля. Атаки шли с конца февраля 2026 года — за два месяца до появления заплаты. Если панель не обновлялась после 28 апреля, обновите её сегодня и проверьте, не заходил ли кто-то раньше.
nginx
Актуальные версии — 1.30.6 в стабильной ветке и 1.31.7 в основной. Отдельного внимания заслуживает CVE-2026-42945 («NGINX Rift»): разработчик оценивает её как среднюю, но она применяется в атаках с мая 2026 года.
Nextcloud со встроенным Collabora CODE: CVE-2026-110447
Оценка 9.2, выполнение команд без входа. Особенность: отключение приложения проблему не решает — нужно обновить его до 26.4.303 или новее либо удалить. С 10 сентября в атаках размещали веб-шеллы, поэтому после обновления стоит поискать оставленные файлы.
Что сделать прямо сейчас
- Обновите PHP и перезапустите PHP-FPM — без перезапуска старый код остаётся в памяти.
- Проверьте версию панели управления и обновите её.
- Проверьте версию nginx.
- Если пользуетесь Nextcloud — обновите или удалите приложение CODE.
- После обновления убедитесь, что к вам не зашли раньше: новые учётные записи, чужие ключи SSH, незнакомые задания cron.
Пошаговые инструкции для Ubuntu, Debian, AlmaLinux, панелей управления и Docker, а также проверка целого парка серверов одной командой — в разделе базы знаний о безопасности. Если нужна помощь с обновлением вашего сервера, напишите в поддержку: поможем.