Часто задаваемые вопросы
Какие версии PHP уязвимы?
Все версии до 8.5.12, 8.4.27, 8.3.36 и 8.2.35 в поддерживаемых ветках. Поддержка PHP 8.1 и более старых версий прекращена, проект PHP не выпускает для них обновлений; считайте их уязвимыми, пока поставщик не подтвердит перенесённое исправление.
Мой сайт не показывает версию PHP. Я в безопасности?
Не обязательно. Скрытие версии (expose_php = Off) — хорошая практика, но оно ничего не исправляет. Проверьте на сервере командой php -v или обратитесь к провайдеру.
Проверка показывает старую версию, а хостинг говорит, что она исправлена. Кто прав?
Возможно, оба. Дистрибутивы Linux, такие как Debian, Ubuntu и RHEL, часто переносят исправления безопасности, не меняя номер версии. Спросите у хостинга, какая сборка пакета установлена и упоминаются ли в её журнале изменений CVE-2026-109618 и CVE-2026-109619.
Затронуты ли WordPress, Laravel или моя CMS?
Уязвимости находятся в самом PHP, поэтому под угрозой любое приложение, работающее на уязвимом PHP. Исследователи продемонстрировали атаки без аутентификации на WordPress, Drupal и Joomla, но это лишь примеры — достаточно даже простой страницы «Hello World». Обновление WordPress или плагинов проблему не решает — нужно обновить PHP.
Могут ли данные утечь, даже если код не выполнялся?
Да. CVE-2026-109619 может раскрыть память процесса PHP — пароли, токены сессий, ключи API и сертификаты из других запросов — без выполнения кода атакующим. Такие утечки не оставляют файлов, и их трудно обнаружить, поэтому смените секреты каждого сайта, который работал на уязвимой версии в интернете.
Помогает ли отключение session.upload_progress?
Нет. php.net приводит session.upload_progress.enabled=0 как частичную меру защиты для некоторых подтверждённых путей CVE-2026-109619. Она не покрывает все варианты и никак не помогает против CVE-2026-109618.
Достаточно ли межсетевого экрана веб-приложений?
WAF или ограничения запросов могут снизить риск на время обновления, но проблемы кроются в том, как PHP обрабатывает запросы и память. Обновление всё равно необходимо.
Нужно ли что-то перезапускать после обновления?
Да. PHP-FPM, Apache, LiteSpeed и долго работающие процессы продолжают выполнять старый код, пока их не перезапустят. Контейнеры нужно пересоздать из нового образа.
Что на самом деле делает эта проверка?
Она отправляет один запрос HEAD (или GET, если HEAD не разрешён) по указанному Вами адресу, следует не более чем за тремя перенаправлениями и читает заголовки ответа, такие как X-Powered-By и Server. Она никогда не отправляет эксплойты, большие запросы или файлы и не сканирует другие пути.
Законно ли проверять любой сайт?
Проверяйте только сайты, которыми Вы владеете или которые Вам разрешено оценивать. Запрос ничем не отличается от обычного посещения, но ответственность за корректное использование лежит на Вас. Мы ограничиваем число проверок для каждой сети и каждого сайта.
Полностью ли исправлена PHP 8.5.12?
22 октября 2026 года появились сообщения о сбое в 8.5.12, но они не были подтверждены как удалённо эксплуатируемая уязвимость. Мы следим за php.net; если выйдет новый выпуск, сайт будет обновлён, а дата «последней проверки» изменится.
Где прочитать официальные подробности?
На php.net и в бюллетенях проекта PHP на GitHub GHSA-w8hw-w9fx-j79w и GHSA-6wmf-4rv5-p3rp. Исследовательская группа (Wiz Research, OpenAI Codex Security и Calif) опубликовала свои результаты на php2shell.com.
Кто обнаружил уязвимости?
Исследователи из Wiz Research, OpenAI Codex Security и Calif в рамках скоординированного раскрытия совместно с командой безопасности PHP, которая подготовила исправления. См. публикацию The PHP Foundation о выпуске.