PHP пусна критични поправки на 21 октомври, проверете сайта

На 21 октомври 2026 в 14:00 UTC, тоест в 17:00 българско време, екипът на PHP пусна версиите 8.5.12, 8.4.27, 8.3.36 и 8.2.35. Те поправят две критични уязвимости, CVE-2026-109618 и CVE-2026-109619, които могат да позволят отдалечено изпълнение на код без вход. С други думи, нападател може да накара сървъра да изпълни негов код, без да има акаунт в сайта. И двете са оценени с 9.2 по CVSS v4.0, скалата от 0 до 10, с която се мери колко опасна е една уязвимост. Екипът на PHP призовава всички да обновят веднага.

Публикувахме новината на 21 октомври преди обновлението, а на следващия ден я допълнихме с поправените версии и с това кои сървъри са застрашени. Как да проверите конкретно Вашия сайт и какво да попитате хостинга, описваме в отделна новина за PHP2Shell и проверката на WordPress сайта.

Какво поправя обновлението

Първата уязвимост, CVE-2026-109618, е в начина, по който PHP се справя с изчерпана памет. Ако паметта свърши по средата на заявка, PHP може да прекъсне работата, докато част от вътрешните данни още не е подготвена. После почистването след заявката приема тези данни за валидни. Втората, CVE-2026-109619, засяга данни от една заявка, които остават в процеса и след като паметта им е освободена. Следваща заявка към същия процес може да ги използва, преди PHP да ги е изчистил.

Според php.net застрашени са всички инсталации на PHP, които обслужват уеб заявки, включително PHP-FPM, Apache с mod_php, php-cgi, FrankenPHP и LiteSpeed. Най-голям е рискът при mod_php. За него има демонстрирана атака, при която заявка без вход задейства уязвимостта, преди да се е изпълнил какъвто и да е код на приложението.

Пълна защита без обновление няма. Екипът на PHP изброява няколко настройки на сървъра, които стесняват отделни пътища за атака, и изрично казва, че те не правят инсталацията сигурна. Към 22 октомври php.net, NVD и CISA не съобщават за потвърдени атаки с тези уязвимости.

Защо това засяга WordPress сайта Ви

WordPress е написан на PHP. Всяка страница на сайта, всеки вход в админа и всяка поръчка в WooCommerce минават през PHP на сървъра. Уязвимост в самия PHP стои под WordPress, темата и плъгините, затова обновленията в админа не я затварят. Плъгин за сигурност също не помага, защото демонстрираната атака при mod_php започва, преди WordPress да е заредил. Ако искате да разберете какво означава оценката, вижте какво значи CVSS за WordPress сайта.

Кой обновява PHP на споделен хостинг

Ако сайтът Ви е на споделен хостинг с cPanel, както са много WordPress сайтове, Вие избирате клона на PHP (8.3, 8.4 и т.н.), но не инсталирате самия PHP. Това прави хостингът. На сървърите с cPanel версиите на PHP идват като пакети на EasyApache 4 с имена като ea-php83 и ea-php84. На сървъри с CloudLinux има и пакети alt-php, между които избирате в Select PHP Version.

Поправката стига до сайта Ви, когато хостингът инсталира обновените пакети, и то по неговия график. Дистрибуциите на Linux и доставчиците на дългосрочна поддръжка са получили поправките предварително, така че обновени пакети може вече да има. Пишете на хостинга и попитайте дали поправените версии на PHP са инсталирани на сървъра, където е сайтът Ви, а ако не са, кога ще бъдат.

Ако сайтът е на собствен сървър или VPS, PHP обновява онзи, който поддържа сървъра. Помолете го още днес да инсталира обновените пакети и да рестартира PHP.

Засегнат ли е Вашият сайт?

Засегнати са всички версии преди поправените. Сравнете версията на сайта с таблицата.

В админа на WordPress отворете Tools > Site Health, раздела Info и секцията Server. На реда PHP version е пълният номер на версията, например 8.3.36. На български пътят е „Инструменти“, „Състояние на сайта“, „Информация“ и „Сървър“, а редът се казва „Версия на PHP“.

В cPanel избраният клон се вижда в секцията Software, в MultiPHP Manager или в Select PHP Version, според сървъра. Пълният номер обаче ще видите в Site Health.

Ако имате Terminal в cPanel, командата по-долу показва версията на PHP и нищо не променя.

# cPanel > Terminal, в папката на сайта
# Само чете. Показва версията на PHP за командния ред.
php -v

На сървърите с cPanel командата избира версията, зададена за папката, в която се намирате, но на някои сървъри тя може да се различава от версията, с която работи сайтът. При разминаване вярвайте на Site Health. Повече за версиите и смяната им има в ръководството за версията на PHP.

Ако сайтът показва 8.5.11, 8.4.26, 8.3.35 или 8.2.34, той е на обновлението от 24 септември и по номер още няма поправката. Дистрибуциите на Linux обаче често вграждат поправките в своите пакети, без да сменят номера на версията. Затова при по-стар номер попитайте хостинга дали пакетът вече съдържа поправката за двете уязвимости.

Ако сайтът е на PHP 8.1 или по-стара версия

Екипът на PHP поддържа само клоновете от 8.2 до 8.5, затова на 21 октомври не пусна версия за 8.1 и по-старите. Някои дистрибуции и доставчици на дългосрочна поддръжка вграждат поправките и в тях. Екипът публикува и минимални поправки в изходния код на 7.4, 8.0 и 8.1, но те са за хора, които сами компилират PHP. На споделен хостинг нито едното, нито другото не зависи от Вас. Затова приемете, че сайт на 8.1 или по-стара версия е уязвим, докато хостингът не потвърди друго.

Ако сменяте версията сега, изберете 8.3 или 8.4. Не преминавайте на 8.2, защото тя спира да получава поправки на 31 декември и след няколко седмици ще трябва да я сменяте отново. Екипът на PHP напомня за това и в съобщението за 8.2.35. Повече за сроковете има в новината за края на поддръжката на PHP 8.2. За магазините има и друга причина, понеже WooCommerce ще иска PHP 8.1 или по-нова от версия 11.6.

Какво да направите сега

1. Вижте в Site Health с коя версия на PHP работи сайтът и я сравнете с таблицата.
2. Ако номерът е по-стар от поправения, пишете на хостинга и попитайте дали поправката е инсталирана.
3. Ако сайтът е на 8.1 или по-стара версия, направете бекъп и планирайте преминаване на 8.3 или 8.4.
4. Когато хостингът потвърди, отворете отново Site Health и проверете дали номерът се е сменил.

От пускането на обновлението промените в кода на PHP и подробните описания на двете уязвимости са публични. Така е по-лесно да се търсят сървъри, които още не са обновени, затова не отлагайте въпроса към хостинга.

Какво правим ние

При поддръжката на WordPress обновяваме PHP на сървъра, когато поддържаме и него, а смяната на версията на сайта правим с бекъп и първо я пробваме в staging. На споделен хостинг самите пакети на PHP се обновяват от хостинга. Ако не сте сигурни на коя версия на PHP е сайтът Ви или как да го смените, опишете го във формата за запитване.

Източници

• PHP, Security advisory. Critical remote code execution vulnerabilities, update now
• PHP, Upcoming Critical PHP Security Release
• GitHub, php-src, GHSA-w8hw-w9fx-j79w (CVE-2026-109618)
• GitHub, php-src, GHSA-6wmf-4rv5-p3rp (CVE-2026-109619)
• NVD, CVE-2026-109618
• NVD, CVE-2026-109619
• CISA, Known Exploited Vulnerabilities Catalog
• PHP, Supported Versions
• PHP, Unsupported Branches
• PHP, ChangeLog за версия 8
• Red Hat, Backporting Security Fixes
• WordPress.org, Site Health screen
• cPanel, MultiPHP Manager for cPanel
• cPanel, How to Locate and Install a PHP Version or Extension
• cPanel, EasyApache 4 and the ea-php-cli Package
• CloudLinux, PHP Selector