21 жовтня проект PHP випустив екстрені оновлення безпеки для двох критичних уразливостей, CVE-2026-109618 та CVE-2026-109619, обидві з рейтингом 9.2 за шкалою CVSS v4.0. Вразливості впливають на сам PHP, а не на окремі застосунки, і дозволяють виконання коду на відстані без аутентифікації. Експлуатацію було зафіксовано в природних умовах до публікації патчів.

Що ми зробили

Ми розпочали реагування того ж дня. Нашу хостинг-інфраструктуру було оновлено до патчених версій PHP, а сервіси було перезавантажено, щоб переконатися, що в пам'яті не залишилось непатчених процесів. Коли оновлення від виробника не було негайно доступне через наших постачальників, ми самі створили та розгорнули патчені версії.

Робота не обмежилась веб-хостингом. Ми переглянули кожну систему нашої інфраструктури, яка використовує PHP, включаючи внутрішні та клієнтські застосунки, і оновили або пропатчили кожну з них.

Ми також скористались цією нагодою, щоб завершити планову міграцію на нову хостинг-платформу з кращою ізоляцією для кожного сайту (веб хостинг), що обмежує вплив будь-якого скомпрометованого сайту на інші, що діляться одним сервером.

У ході міграції ми припинили використання версій PHP, які ми більше не можемо підтримувати в безпеці, а всі інші версії – включаючи PHP 7.4, 8.0 та 8.1, для яких наш постачальник платформи зробив офіційні виправлення – запускаються з патченими збірками.

Що це означає для вас

Ніяких дій не потрібно. Ваші сайти та дані не були втрачені або пошкоджені під час міграції, а патчені версії PHP тепер запущені. Якщо ваш веб-сайт запускається на PHP 8.1 або старіше – ці версії патчені проти цих конкретних уразливостей, але більше не отримують загальну підтримку безпеки від проекту PHP. Будь ласка, розгляньте можливість перенесення своїх застосунків на актуальні версії.

Запитання

Якщо у вас є питання щодо цієї проблеми або конфігурації вашого сайту, зв'яжіться з нашою командою підтримки, і ми з задоволенням допоможемо.