21 октября 2026 года разработчики PHP сообщили о двух критических уязвимостях в самом языке, на котором работает большинство сайтов в интернете. Мы уже приняли меры для защиты сайтов клиентов и начинаем бесплатный перевод всех сайтов на исправленную версию PHP 8.5. Рассказываем, что произошло, что изменилось на вашем сайте и как пройдёт обновление.
Что произошло
21 октября 2026 года команда PHP выпустила предупреждение о безопасности и исправленные версии языка. Найдены две критические уязвимости, каждая получила оценку 9,2 из 10 по шкале CVSS 4.0. При определённых условиях они позволяют злоумышленнику выполнить свой код на сервере без авторизации — то есть без логина и пароля от сайта.
- CVE-2026-109618 — сбой при нехватке памяти может прервать обработку запроса на середине, и PHP примет недостроенные данные за правильные.
- CVE-2026-109619 — служебные данные одного запроса могут «пережить» его и попасть в следующий запрос, который обработает тот же процесс сервера.
Проблема относится к самому PHP, а не к конкретной системе управления сайтом. Она может затрагивать сайты на любых CMS — WordPress, 1С-Битрикс, OpenCart, нашей eSimple и других.
Исправления выпущены только для поддерживаемых веток: PHP 8.2.35, 8.3.36, 8.4.27 и 8.5.12. Версии 8.1 и более ранние, включая PHP 7.4, обновлений больше не получают: их официальная поддержка уже завершена.
ИсточникОфициальное сообщение разработчиков PHP: php.net — Security advisory, 21.10.2026 ↗
Чем это опасно
Выполнение кода на сервере — самый тяжёлый вид уязвимостей. Получив такой доступ, злоумышленник может изменить страницы сайта, разместить на нём вредоносные файлы, получить доступ к данным из форм и базы или рассылать спам от имени сайта. После этого сайт могут пометить как опасный Яндекс и Google, а хостинг — заблокировать.
Известный способ атаки связан с механизмом отслеживания загрузки файлов в сессиях PHP (session.upload_progress). Отключение этого механизма снижает риск, но не заменяет установку исправленной версии PHP.
Что мы уже сделали
В целях безопасности мы временно отключили загрузку файлов, изображений и документов через формы сайтов. Загрузка будет включена после завершения модернизации каждого сайта. Остальные функции сайта работают в обычном режиме.
Пока работы на сайте не завершены, в панели управления видно красное предупреждение с описанием ситуации.
Бесплатное обновление до PHP 8.5
Мы бесплатно обновим сайты клиентов для работы на актуальной исправленной версии PHP 8.5. Почему именно 8.5, а не ближайшая к старой версия:
- это самая новая ветка PHP — она дольше всех будет получать исправления безопасности;
- ветка 8.2 перестанет получать исправления уже 31 декабря 2026 года — переходить на неё сейчас означает снова обновляться через пару месяцев;
- на новых версиях PHP сайты обычно работают быстрее.
Перед переходом проверяем совместимость сайта: код, формы, оплату, отправку писем и доработки, которые делались под конкретный проект. Базовую версию нашей CMS eSimple мы уже проверили на PHP 8.5.
В каком порядке обновляем
В первую очередь обновляем сайты, которые обновлялись недавно: их код ближе всего к актуальной версии CMS, и переход занимает меньше времени. Затем переходим к остальным. Сайты, которые давно не обновлялись, будут обновлены в последнюю очередь — в них больше устаревшего кода, который нужно переписать и проверить.
Сколько времени это займёт. Точный срок пока неизвестен: объём работ зависит от состояния и совместимости каждого сайта. Постараемся выполнить обновления как можно быстрее. Спасибо за понимание!
Как узнать, что работы завершены
После модернизации мы включим загрузку файлов и уберём красное предупреждение. Когда красная полоса исчезнет, вы снова сможете загружать файлы и пользоваться формами загрузки в обычном режиме.
Вопросы и ответы
Нужно ли мне что-то делать?
Нет. Обновление проводим мы, оно бесплатное. Если вы заметите что-то необычное в работе сайта — напишите нам.
Сайт продолжит работать во время обновления?
Да. Мы проверяем сайт на новой версии PHP заранее и переключаем его, когда убедились, что всё работает.
Почему нельзя просто оставить старую версию PHP?
Для PHP 7.4 и других версий старше 8.2 исправлений не будет: разработчики их больше не поддерживают. Уязвимость в такой версии останется навсегда.
Мой сайт сделан не у вас. Он тоже под угрозой?
Уязвимости касаются самого PHP, поэтому под угрозой может быть любой сайт на PHP. Уточните у своего хостинга или разработчика, какая версия PHP стоит на сайте и когда её обновят. Если нужна помощь с проверкой и переходом — оставьте заявку.
Есть вопросы по вашему сайту?
Напишите или позвоните — подскажем, когда дойдёт очередь до вашего сайта и что изменится после перехода на PHP 8.5.