Що сталося

21 жовтня 2026 року розробники PHP випустили позапланове оновлення безпеки. Дві вразливості — CVE-2026-109618 і CVE-2026-109619, обидві з оцінкою CVSS 9.2 — дозволяють виконати довільний код на сервері без входу в систему і без жодного пароля. Спільна назва — PHP2Shell.

Чому це небезпечніше за звичайну вразливість

Атака спрацьовує ще до того, як запит дійде до коду сайту. Ні форма входу, ні двофакторна перевірка, ні права доступу всередині застосунку не допоможуть: на момент їхньої перевірки код зловмисника вже виконано. Перша вразливість пов'язана з обробкою нестачі пам'яті, через яку дані запиту залишаються напіврозібраними; друга — із залишками стану в робочому процесі, які дістаються наступному запиту.

Дослідники Datadog зазначають, що перевірки на рівні застосунку атаку не зупиняють. Cloudflare вже фіксує звернення, націлені на ці вразливості.

У яких версіях виправлено

Гілка PHP	Виправлена версія
8.5	8.5.12
8.4	8.4.27
8.3	8.3.36
8.2	8.2.35

Гілки 8.1 і старіші підтримки не отримують: якщо ви на них, оновлення версії — єдиний вихід.

Як перевірити свій сервер за хвилину

Команда php -v відповідає не на те питання. В Ubuntu, Debian, AlmaLinux та інших дистрибутивах виправлення переносять у стару версію, не змінюючи її номер: на виправленому сервері, як і раніше, буде написано 8.3.6. Тому дивитися потрібно на версію пакета та його журнал змін.

Ubuntu і Debian:

dpkg -l | grep -E 'php[0-9.]+-(fpm|cli|common)'
zgrep -l 'CVE-2026-109618' /usr/share/doc/php*/changelog.Debian.gz

Якщо друга команда вивела шлях до файлу — виправлення встановлено. Якщо нічого не вивела, сервер ще вразливий.

AlmaLinux, Rocky, RHEL:

rpm -q php-fpm php-cli
rpm -q --changelog php-cli | grep -m1 CVE-2026-109618

Що робити просто зараз

Оновіть пакети PHP засобами свого дистрибутива — це найшвидший і підтримуваний шлях.
Перезапустіть PHP-FPM: без перезапуску продовжують працювати старі процеси зі старим кодом.
Повторіть перевірку журналу змін і переконайтеся, що CVE в ньому з'явилися.

Докладні команди для кожної системи — у наших статтях щодо Ubuntu і Debian, AlmaLinux і RHEL, а також щодо панелей керування і Docker.

Якщо оновитися просто зараз не можна

Тимчасові заходи знижують ризик, але не закривають вразливість. Вимкніть відстеження перебігу завантаження файлів і обмежте розмір тіла запиту:

session.upload_progress.enabled = 0
post_max_size = 8M

Після правки обов'язково перезапустіть PHP-FPM. Це виграш часу на оновлення, а не заміна йому.

Часті запитання

У мене PHP 8.3.6, отже я вразливий?

Не обов'язково. В Ubuntu 24.04 виправлений пакет називається 8.3.6-0ubuntu0.24.04.13 і показує версію 8.3.6. Перевіряйте журнал змін пакета, а не вивід php -v.

Чи достатньо оновити тільки PHP-FPM?

Ні. Оновлюйте всі пакети PHP на сервері та перезапускайте служби, які їх використовують, зокрема вебсервер у разі mod_php.

Чи допоможе закриття сайту паролем?

Ні. Вразливість спрацьовує раніше, ніж застосунок перевірить доступ.

Чи потрібно щось робити клієнтам ZevsHost?

На серверах спільного хостингу та в нашому білінгу PHP оновлено. Власникам VPS і виділених серверів потрібно оновити PHP самостійно — сервер у вашому керуванні.