PHP сьогодні випускає екстрений security patch: дві критичні вразливості

Якщо у вас є сайт або сервер на PHP — сьогодні варто перевірити його особливо уважно.

PHP анонсував позапланове security-оновлення на 21 жовтня о 17:00 за Києвом.

Причина — дві критичні вразливості з оцінкою:

CVSS 4.0 → 9.2 / 10

За даними дослідників watchTowr, вразливості потенційно дозволяють Remote Code Execution — віддалений запуск коду на сервері.

У спільноті їх уже назвали:

php2shell

і пов'язують із:

CVE-2026-109618
CVE-2026-109619

Але важливий нюанс: PHP поки офіційно не підтвердив ці CVE, affected versions або технічний механізм атаки.

Деталі мають опублікувати одночасно з патчем.

[Офіційний анонс PHP](https://www.php.net/archive/2026.php#2026-10-20-1)

Хто повинен перевіритися насамперед

- самописні PHP-проєкти;
- Laravel / Symfony та інші PHP applications;
- WordPress;
- hosting panels;
- billing/admin systems;
- cPanel, Plesk, DirectAdmin;
- будь-які internet-facing сервери з PHP.

Важливо: оновлення WordPress або Laravel не оновлює сам PHP runtime.

Перевіряти потрібно PHP на сервері: PHP-FPM, mod_php, CGI, container image або package вашого Linux-дистрибутива.

Що з підтримкою версій

Офіційні security fixes отримають тільки підтримувані гілки:

PHP 8.2
PHP 8.3
PHP 8.4
PHP 8.5

PHP 8.1, 8.0, 7.x та 5.x уже EOL і upstream-патч від PHP не отримають.

Для старих версій варіанти:

upgrade → isolate → перевірити backport від OS/hosting vendor

Що зробити сьогодні

1. Знайти всі production-системи, де використовується PHP.
2. Перевірити поточну версію.
3. Підготувати backup та процедуру rollback.
4. Після виходу релізу перевірити офіційно affected і fixed versions.
5. Спочатку оновити internet-facing сервери.
6. Якщо швидко оновитися неможливо — максимально обмежити зовнішній доступ через VPN / firewall / allowlist.
7. Перевірити логи на підозрілі процеси та нові файли.

На цей момент публічно підтверджених атак у wild немає, але після disclosure ситуація може змінитися дуже швидко.

Показовий приклад: після розкриття CVE-2024-4577 у 2024 році спроби експлуатації почали фіксувати вже протягом приблизно доби.

Тому сьогодні це той випадок, коли:

не просто оновлюємо CMS — перевіряємо PHP runtime на самому сервері.