Среди всех остальных ИБ-подарков, которыми "радует" нас октябрь, примечательны две новых уязвимости, которые затрагивают добрую половину интернет-ресурсов (считайте, что все сайты на Wordpress, а это уже много). Уязвимости позволяют получить полный доступ к сайту не затрачивая сил, в полях эксплуатируются еще до момента их публикации и появления патчей.
CVE-2026-109618
Как работает: Когда обработка запроса превышает лимит памяти, PHP вызывает функцию longjmp(), это прерывает процесс (OOM защита, можно сказать). Но внутренние структуры данных запроса не успевают полностью инициализироваться. А дальше PHP считаетс, что эти данные валидны и освобождает память, которая еще не создавалась. Получаем, что злоумышленник мог успеть что-то изменить в данных и в итоге может исполниться произвольный код.
Для каких версий php это актуально
- Все выпуски от 5.4 до 8.5.11
CVE-2026-109619
Как работает: В случае возникновения фатальной ошибки (fatal error) внутреннее состояние текущего запроса сохраняется в памяти даже после того, как выделенная под него память была освобождена. И когда к тому же воркеру попадает следующий запрос на обработку, он может получить доступ к устаревшим данным до того, как они будут сброшены. Злоумышленник может заранее сформировать логику запросов таким образом, чтобы перехватить управление процессом и получить доступ в систему.
Для каких версий php это актуально
- Все выпуски от 5.4 до 8.5.11
Как исправлять
Экстренные исправления уже выпущены 21 октября 2026 в версиях PHP
- 8.2.35
- 8.3.36
- 8.4.27
- 8.5.12
Где скачать нужные версии php
- Если используете популярный дистрибутив, то они уже должны быть в официальном репо
- Если используете хостинг с панелью от провайдера (н. NetAngels), то у них уже есть гайд по исправлению (сами проверили на VPS - все сработало ровно по гайду)
Если не получается обновить, то выставляем эти параметры в php.ini:
- session.upload_progress.enabled = 0
- post_max_size = 8M (или 32M, если загрузка файлов нужна), upload_max_filesize должен быть меньше post_max_size
- для PHP 8.5: fatal_error_backtraces = 0
Это временная мера, обновляться все равно будет нужно, но это выйграет вам время.