[Обновена] Спешна поправка за PHP: две критични уязвимости, обновете сайта си

На 21 октомври PHP публикува обновление за сигурност, което отстранява две критични уязвимости. В статията ще научите кои версии получиха поправка, как да проверите версията на PHP на сайта си и какво да предприемете, ако използвате неподдържана версия.

Статията е обновена с официалната информация, публикувана заедно с поправката. Всички промени са описани в секцията „Актуализации“ в края на статията.

Какво се случи?

На 20 октомври екипът на PHP предупреди на php.net за предстоящо обновление за сигурност. На 21 октомври в 17:00 българско време то излезе заедно с подробностите.

Двете уязвимости са в самия PHP, а не в конкретна платформа или плъгин:

• CVE-2026-109618. Когато на PHP не му стигне памет по време на обработка на заявка, той може да спре по средата, докато някои вътрешни данни са попълнени само наполовина. При почистването след заявката тези данни се приемат за валидни. Със специално подготвена заявка това може да доведе до изпълнение на код.
• CVE-2026-109619. След края на една заявка в процеса на PHP може да остане информация, която сочи към вече освободена памет. Ако следваща заявка се обработи от същия процес, тя може да използва тази остаряла информация, което също може да доведе до изпълнение на код.

Засегнати са всички начини, по които PHP обслужва сайтове: PHP-FPM, Apache с mod_php, php-cgi, FrankenPHP и LiteSpeed. Според екипа на PHP рискът е най-висок при mod_php, защото там атаката може да започне още преди да се изпълни кодът на самия сайт.

Отнася ли се това за моя сайт?

PHP е езикът, на който работят много от най-популярните платформи за сайтове. Ако използвате някоя от тях, сайтът ви най-вероятно работи на PHP, дори никога да не сте се занимавали с него:

• Сайтове и блогове: WordPress, Joomla, Drupal
• Онлайн магазини: WooCommerce, Magento, PrestaShop, OpenCart
• Форуми и вътрешни системи: phpBB, Moodle, Nextcloud

Тъй като уязвимостите са в самия PHP, те засягат всеки сайт на уязвима версия, независимо от платформата. Затова освен самата платформа е важно да е актуална и версията на PHP.

Кои версии на PHP получиха поправка?

Поправки получиха всички версии, които PHP поддържа. Версиите, чиято поддръжка е приключила, нямат официално обновление.

Заради сериозността на уязвимостите екипът на PHP публикува и минимални поправки в изходен код за 7.4, 8.0 и 8.1. Те са предназначени за хора, които сами компилират PHP. Това не е официално обновление и не прави тези версии поддържани.

Датите за поддръжка на всяка версия са публикувани на php.net.

Какво да направите?

1. Проверете коя версия на PHP използва сайтът ви

В WordPress: отидете на Инструменти → Здраве на сайта → Информация → Сървър и вижте реда „Версия на PHP“.

В контролния панел на хостинга: версията се вижда в раздела за управление на PHP. Това е най-лесният начин, ако използвате друга платформа.

2. Ако сте на PHP 8.2, 8.3, 8.4 или 8.5

На споделен хостинг ние се грижим за обновяването на PHP. Не е нужно да правите нищо.

При неменажираните ни VPS и наети сървъри обновяването на PHP е ваша отговорност. Направете го сами или чрез администратора на сървъра:

1. Инсталирайте обновените пакети на PHP от източника, който използвате. Linux дистрибуциите (Debian, Ubuntu, AlmaLinux и др.) са получили поправките предварително и пускат собствени пакети със собствени номера на версиите. Следете бюлетините за сигурност на вашата дистрибуция.
2. Рестартирайте PHP-FPM и уеб сървъра, за да спрат всички стари процеси на PHP.
3. Проверете с командата php -v, че работи новата версия.

Ако не можете да обновите веднага, екипът на PHP описва временни мерки. Те намаляват риска, но не го премахват. Добавете следните настройки в php.ini и рестартирайте PHP-FPM и уеб сървъра:

; Изключва напредъка при качване на файлове
session.upload_progress.enabled = 0

; Само за PHP 8.5
fatal_error_backtraces = 0

; 8M за сайтове без качване на файлове, 32M за сайтове с качване
post_max_size = 8M

Пълният списък с мерки е в бюлетина за сигурност на PHP. Обновете при първа възможност.

3. Ако сте на PHP 8.1 или по-стара версия

За тези версии няма официално обновление, затова е добре да преминете към поддържана версия:

1. Направете резервно копие на файловете и базата данни на сайта.
2. Обновете платформата, плъгините, модулите и темата до последните им версии. Така сайтът ще работи без проблеми и с новата версия на PHP.
3. Сменете версията на PHP от контролния панел на хостинга. Препоръчително е да изберете PHP 8.4 или 8.5. Ако някой плъгин не ги поддържа, изберете поне 8.3.
4. Проверете сайта: началната страница, формите, количката и плащането (ако имате онлайн магазин) и администрацията.
5. Ако нещо не работи както трябва, върнете временно предишната версия и се обърнете към разработчика на сайта.

Къде да следите за официална информация?

• Бюлетин за сигурност на PHP от 21.10.2026: описание на уязвимостите, версиите с поправка и временните мерки.
• Поддържани версии на PHP: докога всяка версия получава поправки за сигурност.

Актуализации

21.10.2026 г., 04:00 ч. (българско време): Статията е публикувана. Обновлението все още не е пуснато.

21.10.2026 г., 12:26 ч. (българско време): От Imunify360 вече приложиха ModSecurity Patch, което да ограничи експлойт на тази уязвимост.

21.10.2026 г., 19:30 ч. (българско време): PHP пусна поправката в 17:00. Добавени са версиите с поправка, описание на уязвимостите и временни мерки за неменажираните VPS и наети сървъри.