Критическая уязвимость PHP: что означает и как предотвратить угрозу

20 октября 2026 года команда безопасности PHP уведомила о предстоящем экстренном релизе, который призван устранить две критические уязвимости, которые получили оценку CVSS 9,2 из 10 возможных. Релиз обновлений состоялся 21 октября 2026 года в 17:00 по GMT +3.

Первоначально согласованное раскрытие уязвимостей планировали на 22 октября, но 20 октября информация о проблемах преждевременно появилась в открытом доступе.

Новость об уязвимости в PHP-языке привела к тому, что многие интернет-сервисы, госучреждения и популярные порталы были вынуждены временно отключить сайты. 

Так, например, в Нидерландах власти временно закрыли сайт парламента, Wikipedia приостановил работу вспомогательных сервисов, а во Франции МВД распорядилось временно закрыть административные сайты местных органов власти. Это лишь единичные примеры, которые показывают масштаб угрозы.

Экстренные исправления вышли в версиях PHP 8.5.12, 8.4.27, 8.3.36 и 8.2.35. Уязвимыми признаны все релизы, начиная с PHP 5.4, который появился еще в 2012 году. 

Мы обратились к SEO-эксперту и автору TG-канала Affiliate Tea Party Елене Словецкой за разъяснениями. Ниже ее оценка событий и рекомендации для вебмастеров в iGaming.

Что значат уязвимости

Были обнаружены критические ошибки в PHP, на котором работает множество сайтов. Из-за них злоумышленники потенциально могут взломать ресурс, получить доступ к его файлам, изменить содержимое или украсть приватные данные.

Нужно понимать, что для владельцев сайтов всех ниш, а особенно высокорисковых как iGaming, это приведет к всплеску числа взломанных сайтов и обновлению списков доноров для простановки нехороших ссылок.

Взломанные сайты используются для:

• простановки редиректов/канониклов;
• компрометирования и слива данных;
• добавления мусора в индекс/деиндексация;
• полного забора доступа к проекту(ам).

Что делать прямо сейчас

В первую очередь, беремся за мани-проекты и проекты с коммерческой ценностью. Нужно:

• проверить версию PHP на сервере, включая отдельные окружения и контейнеры.
• уточнить у хостинга, установлено ли исправление.
• если сервером управляет команда, срочно обновить PHP до исправленной поддерживаемой версии после проверки совместимости приложения.
• проверить логи, новые файлы, администраторские аккаунты, редиректы и другие признаки возможной компрометации.
• после обновления проверить сайт с SEO-стороны: статус-коды, индексируемость, canonical, sitemap и корректность редиректов.

Лучше временно отключить сайт на время работ и использовать HTTP 503.

Официальные рекомендации и исправленные версии можно посмотреть на сайте PHP.

Обезопасить свои проекты вы можете уже сейчас обновив на версию PHP, где уязвимость устранили.

После обновления необходимо перезапустить Apache, PHP-FPM и другие долгоживущие PHP-процессы, чтобы исправления действительно вступили в силу.

Важные нюансы

Официальное обновление доступно только для 8.2, 8.3, 8.4 и 8.5 версий. Для 8.1, 8.0, всей 7.x ветки и более старых 5.6 и 5.5 исправления не выпущены и не планируются.

Если ваш код не запускается на актуальных релизах, нужно в конфигурационном файле php.ini отключить настройку “session.upload_progress”. В формах загрузки файлов в админке сайта перестанет работать индикатор прогресса, но на саму передачу файлов это не повлияет.

Почему не стоит откладывать обновление

Несколько дней пристального внимания к проектам сейчас обойдутся дешевле, чем разбор последствий взлома.

Такие истории будут повторяться чаще: с развитием ИИ искать уязвимости становится проще и быстрее. В высокорисковых нишах к этому давно привыкли, а в крупных командах обновления и проверки обычно поставлены на поток. Потери, скорее всего, придутся на проекты, которые остались без присмотра, и кто-то из их владельцев станет героем очередного неприятного кейса.

Отдельно стоит проверить собственные скрипты для автоматизации рутины. Если такой код лежит в корне проекта или получил избыточные права доступа, он может стать такой же точкой входа для атаки или утечки данных, как непропатченный PHP.

Затягиваем пояса и все также держим ухо востро (как и всегда).