21 октября проект PHP выпустил экстренное обновление безопасности для двух критических уязвимостей, CVE-2026-109618 и CVE-2026-109619, обе с рейтингом 9.2 по шкале CVSS v4.0. Уязвимости влияют на сам PHP, а не на отдельные приложения, и позволяют удаленное выполнение кода без аутентификации. Эксплуатация была зафиксирована в естественных условиях до публикации патчей.

Что мы сделали

Мы начали реагирование в тот же день. Нашу хостинг-инфраструктуру обновили до патченых версий PHP, а сервисы перезагрузили, чтобы убедиться, что в памяти не осталось непатченых процессов. Когда обновление от производителя не было немедленно доступно через наших поставщиков, мы сами создали и развернули патченые версии.

Работа не ограничилась веб-хостингом. Мы проверили каждую систему нашей инфраструктуры, которая использует PHP, включая внутренние и клиентские приложения, и обновили или запатчили каждую из них.

Мы также воспользовались этой возможностью, чтобы завершить плановую миграцию на новую хостинг-платформу с лучшей изоляцией для каждого сайта (веб-хостинг), что ограничивает влияние любого скомпрометированного сайта на другие, совместно использующие один сервер.

В ходе миграции мы прекратили использование версий PHP, которые мы больше не можем поддерживать в безопасности, а все остальные версии – включая PHP 7.4, 8.0 и 8.1, для которых наш поставщик платформы выпустил официальные исправления – запускаются с патченными сборками.

Что это означает для вас

Никих действий не требуется. Ваши сайты и данные не были потеряны или повреждены во время миграции, а патченные версии PHP теперь запущены. Если ваш веб-сайт работает на PHP 8.1 или старше – эти версии запатчены против этих конкретных уязвимостей, но больше не получают общую поддержку безопасности от проекта PHP. Пожалуйста, рассмотрите возможность переноса своих приложений на актуальные версии.

Вопросы

Если у вас есть вопросы по этой проблеме или конфигурации вашего сайта, свяжитесь с нашей командой поддержки, и мы с удовольствием поможем.