Критичне оновлення безпеки PHP 21 жовтня 2026: що відомо і що робити

20 жовтня 2026 року команда безпеки PHP опублікувала попередження про екстрене оновлення безпеки. Воно закриває дві критичні вразливості, кожна з яких має оцінку 9.2 з 10 за шкалою CVSS v4.0. Нижче пояснюємо, що про це відомо, кого це стосується і що потрібно зробити.

Коротко

Оновлення заплановане на 21 жовтня 2026 о 14:00 UTC (17:00 за Києвом).
Клієнтам віртуального хостингу нічого робити не потрібно: ми оновлюємо сервери самі.
Власникам VPS і виділених серверів потрібно оновити PHP самостійно, щойно оновлення з’являться для вашого дистрибутива.

Що повідомила команда PHP

В офіційному анонсі на php.net сказано:

оновлення безпеки заплановане на середу, 21 жовтня 2026 року, 14:00 UTC;
воно виправляє дві критичні вразливості, обидві з оцінкою CVSS v4.0 9.2;
усім користувачам PHP рекомендовано вже зараз підготуватися, щоб оновитися одразу після релізу;
команда залишає за собою право випустити оновлення раніше, якщо деталі вразливостей стануть публічними або з’являться ознаки їх активного використання;
повні деталі, перелік уражених і виправлених версій будуть опубліковані разом із релізом.

Що повідомляють дослідники

Інформація про вразливості потрапила в публічний простір раніше запланованого розкриття. За даними дослідників безпеки (зокрема компанії watchTowr), йдеться про вразливості класу RCE (віддалене виконання коду), яким присвоєно ідентифікатори CVE-2026-109618 та CVE-2026-109619. За їхніми повідомленнями, уражені версії PHP 5, 7 та 8.

Важливо: ці ідентифікатори та перелік версій поки не підтверджені в офіційному анонсі PHP. Ми оновимо статтю, коли команда PHP опублікує деталі.

Вразливість класу RCE означає, що за успішної атаки зловмисник може виконати довільний код на сервері: отримати доступ до файлів сайту, бази даних, встановити шкідливе ПЗ тощо. Тому оновлення варто встановити якомога швидше.

Кого це стосується

Вразливості знаходяться в самому ядрі PHP, а не в конкретній CMS чи панелі керування. Тобто потенційно уражений будь-який сервер, на якому працює PHP: з WordPress, OpenCart, Joomla, Laravel чи власним кодом, з панеллю керування чи без неї.

Віртуальний хостинг: що робимо ми

На серверах віртуального хостингу ми встановимо оновлення для всіх доступних версій PHP одразу після появи оновлених пакетів. Від вас жодних дій не потрібно. Під час оновлення можливі короткочасні перезапуски PHP.

Якщо ваш сайт працює на PHP 8.1 або старішому, рекомендуємо перейти на новішу версію в панелі керування. Ці версії вже не підтримуються розробниками PHP, і офіційних виправлень для них не буде. Якщо після зміни версії щось перестане працювати, напишіть нам у тікет.

VPS і виділені сервери: що зробити

На VPS програмне забезпечення адмініструє клієнт, тому оновити PHP потрібно самостійно. Після виходу релізу виправлені пакети з’являться в репозиторіях дистрибутивів, зазвичай протягом кількох годин або доби.

1. Перевірте, яка версія PHP встановлена

php -v
systemctl list-units --type=service 'php*'

Друга команда покаже всі запущені PHP-FPM сервіси: на сервері може бути кілька версій одночасно.

2. Оновіть PHP

Debian / Ubuntu:

sudo apt update
sudo apt upgrade

AlmaLinux / Rocky Linux / RHEL:

sudo dnf upgrade 'php*'

Якщо PHP встановлено зі сторонніх репозиторіїв (наприклад, ondrej/php чи Remi), виправлення прийде саме звідти, так само через apt або dnf. Якщо на сервері є панель керування, оновлюйте PHP через неї.

3. Перезапустіть PHP-FPM або вебсервер

sudo systemctl restart php8.3-fpm   # замініть на свою версію
# або, якщо PHP працює як модуль Apache:
sudo systemctl restart apache2      # або httpd

4. Перевірте результат

Ще раз виконайте php -v і переконайтеся, що версія відповідає виправленій. Перелік виправлених версій буде опубліковано на php.net разом із релізом.

Якщо у вас старий PHP

Офіційно розробники PHP зараз підтримують гілки 8.2, 8.3, 8.4 та 8.5. Для PHP 8.1 і старіших версій офіційних виправлень не буде. У такому разі варіантів два:

перейти на підтримувану версію PHP (рекомендовано);
використати збірку PHP, у яку постачальник дистрибутива чи панелі переніс виправлення (бекпорт), якщо такий постачальник у вас є.

Потрібна допомога?

Якщо ви не впевнені, як оновити PHP на своєму VPS, або не хочете робити це самостійно, ми можемо виконати оновлення як платну послугу. Напишіть нам у тікет, і ми підкажемо.

Джерела

Статтю буде оновлено після публікації релізу та деталей від команди PHP.