Критичні вразливості жовтня 2026: що перевірити на своєму сервері
За останні тижні вийшли виправлення одразу для кількох широко використовуваних програм. Три вразливості з цього списку вже застосовуються в реальних атаках. Зібрали коротке зведення з тим, що потрібно перевірити, та докладні інструкції в базі знань.
Наші сервери
На серверах загального хостингу та в білінгу PHP і nginx оновлено, перевірено 27 жовтня 2026 року. Клієнтам загального хостингу робити нічого не потрібно. Якщо у вас VPS або виділений сервер, оновлення за вами — сервер перебуває під вашим керуванням, і нижче найголовніше.
PHP: CVE-2026-109618 і CVE-2026-109619 («PHP2Shell»)
Оцінка 9.2, виконання стороннього коду без входу в систему. Агентство CISA внесло обидві до переліку вразливостей, що використовуються в атаках. Виправлено в PHP 8.5.12, 8.4.27, 8.3.36 і 8.2.35.
Увага: в Ubuntu, Debian і AlmaLinux виправлення переносять у стару версію, не змінюючи її номера. Команда php -v на виправленому сервері й надалі покаже 8.3.6 — перевіряти потрібно журнал змін пакета. Як саме, розписано в інструкції.
cPanel і WHM: CVE-2026-41940
Оцінка 9.8, вхід у панель без пароля. Атаки тривали з кінця лютого 2026 року — за два місяці до появи латки. Якщо панель не оновлювалася після 28 квітня, оновіть її сьогодні та перевірте, чи не заходив хтось раніше.
nginx
Актуальні версії — 1.30.6 у стабільній гілці та 1.31.7 в основній. Окремої уваги заслуговує CVE-2026-42945 («NGINX Rift»): розробник оцінює її як середню, але вона застосовується в атаках із травня 2026 року.
Nextcloud із вбудованим Collabora CODE: CVE-2026-110447
Оцінка 9.2, виконання команд без входу. Особливість: вимкнення застосунку проблему не розв’язує — потрібно оновити його до 26.4.303 або новішої версії чи видалити. З 10 вересня в атаках розміщували веб-шели, тому після оновлення варто пошукати залишені файли.
Що зробити просто зараз
- Оновіть PHP і перезапустіть PHP-FPM — без перезапуску старий код залишається в пам’яті.
- Перевірте версію панелі керування та оновіть її.
- Перевірте версію nginx.
- Якщо користуєтеся Nextcloud — оновіть або видаліть застосунок CODE.
- Після оновлення переконайтеся, що до вас не зайшли раніше: нові облікові записи, чужі ключі SSH, незнайомі завдання cron.
Покрокові інструкції для Ubuntu, Debian, AlmaLinux, панелей керування та Docker, а також перевірка цілого парку серверів однією командою — в розділі бази знань про безпеку. Якщо потрібна допомога з оновленням вашого сервера, напишіть у підтримку: допоможемо.