Коротко
Уязвимости CVE-2026-109618 и CVE-2026-109619 (CVSS v4.0: 9,2) находятся в серверном PHP и позволяют выполнить код на сервере без авторизации. Обновление
Центр информационной безопасности и мониторинга инцидентов
Критично: обновите PHP на сервере незамедлительно
Разработчики PHP выпустили исправления двух критических уязвимостей — CVE-2026-109618 и CVE-2026-109619 (CVSS v4.0: 9,2). Они могут позволить злоумышленнику выполнить произвольный код на сервере без авторизации.
Проблема находится в серверном PHP, а не в коде продуктов
- 9,2оценка CVSS v4.0 — критический уровень
- 2уязвимости: CVE-2026-109618 и CVE-2026-109619
- без входавыполнение кода на сервере без авторизации
Что важно знать
Исправленные версии — PHP 8.2.35, 8.3.36, 8.4.27 и 8.5.12. Более ранние выпуски этих веток требуют обновления.
| Ветка PHP | Что установить |
|---|---|
| 8.5 | 8.5.12 или новее |
| 8.4 | 8.4.27 или новее |
| 8.3 | 8.3.36 или новее |
| 8.2 | 8.2.35 или новее |
| 7.4, 8.0, 8.1 | подтверждённая исправленная сборка поставщика или переход на поддерживаемую ветку — перевод сайта на PHP 8 |
Проверяйте версию, которой обслуживается именно сайт: PHP в консоли (php -v) и PHP, на котором работает сайт (mod_php или PHP-FPM), могут отличаться.
Что необходимо сделать сейчас
- Проверьте резервные копии
Сохраните данные сайта, базу данных и конфигурацию сервера. По возможности проверьте совместимость обновления в тестовом окружении.
- Обновите серверный PHP
Установите исправленный выпуск используемой ветки. Если пакет ещё не доступен в репозитории, обратитесь к администратору или хостингу для установки совместимой исправленной сборки.
- Перезапустите PHP-службы
Перезапустите Apache при использовании mod_php или соответствующий PHP-FPM. Одного перезапуска nginx недостаточно. В BitrixVM 9.x следуйте инструкции для своего окружения.
- Проверьте результат
Убедитесь, что исправленная сборка PHP фактически обслуживает сайт на всех узлах. Проверьте вход, загрузку файлов, формы, заказы и интеграции.
Важно: обновление продукта через SiteUpdate не обновляет серверный PHP. Исправления нужно устанавливать на уровне серверного окружения, включая BitrixVM.
Обновим PHP за вас
Если на сервере нет администратора или нужно сделать всё быстро и без простоя, обновление возьмёт на себя WRP: сделаем резервную копию, проверим обновление на копии сайта, установим исправленную сборку PHP, перезапустим службы и проверим вход, формы, корзину, заказы и обмен с 1С. Работаем с хостингом, VPS, выделенными серверами и BitrixVM — см. администрирование серверов.
Обновление внутри своей ветки (например, с 8.3.x до 8.3.36) обычно занимает несколько часов и оплачивается по времени — час работ 4 000 ₽. Если сайт работает на PHP 7.4, 8.0 или 8.1 и исправленной сборки нет, понадобится переход на поддерживаемую ветку:
Перевод сайта на поддерживаемую версию PHP
- Готовое решение без доработокот 20 000 ₽3–5 рабочих днейОбновление ядра, решения и модулей.Заказать
- Решение с доработкамиот 50 000 ₽1–2 неделиПлюс проверка и исправление своего кода.Заказать
- Индивидуальный проектот 100 000 ₽по сметеСвои модули, правки ядра, интеграции.Заказать
Точную стоимость и срок фиксируем в смете после проверки сайта. Подробнее об услуге
Проверим ваш сервер сегодня. Пришлите адрес сайта — скажем, какая версия PHP обслуживает сайт и что нужно обновить.
Обновить PHPЧтобы такие обновления не заставали врасплох
На абонентской поддержке обновления PHP, ядра
Абонентская поддержка сайта на
- Поддержка «Старт»20 000 ₽ в месяц5 часов в месяцПодключить
- Поддержка «Стандарт»40 000 ₽ в месяц10 часов в месяцПодключить
- Поддержка «Бизнес»80 000 ₽ в месяц20 часов в месяцПодключить
Час работ — 4 000 ₽, при оплате за 12 месяцев — 3 500 ₽. В часы входят обновления PHP, ядра и модулей, исправления и доработки. Подробнее о тарифах
Как закрыть уязвимости CVE-2026-109618 и CVE-2026-109619
- Сделайте резервную копиюСохраните файлы сайта, базу данных и конфигурацию сервера.
- Узнайте версию PHP сайтаПроверьте не только php -v в консоли, но и версию PHP-FPM или mod_php, на которой работает сайт.
- Обновите PHPУстановите 8.2.35, 8.3.36, 8.4.27, 8.5.12 или новее; для 7.4–8.1 — исправленную сборку поставщика или переход на поддерживаемую ветку.
- Перезапустите службыПерезапустите PHP-FPM или Apache, чтобы сайт начал работать на исправленной версии.
- Проверьте сайтУбедитесь, что версия обновилась, а публичная часть, админка и обмены работают.
Источники
Подготовлено командой WRP — Золотого партнёра
