Власникам сайтів на WordPress, Joomla, Drupal та інших PHP-платформах потрібно терміново перевірити сервери. 21 жовтня 2026 року команда PHP випустила екстрені оновлення, які закривають дві критичні вразливості. За певних умов вони дозволяють зловмисникам виконувати власний код на сервері без авторизації. Фахівці з кібербезпеки вже повідомляли про спроби експлуатації цих проблем, тому відкладати встановлення виправлень небезпечно. Про загрозу попередили, зокрема, розробники PHP та дослідники з Patchstack.
PHP — одна з найпоширеніших мов програмування для серверної частини сайтів. На ній працюють WordPress, інтернет-магазини та численні вебзастосунки. Тому вразливість у самому PHP може зачепити різні платформи незалежно від установленої теми, плагінів або системи керування контентом.
Дві проблеми зареєстровані під номерами CVE-2026–109618 і CVE-2026–109619. Обидві отримали оцінку 9,2 із 10 за шкалою CVSS 4.0, що відповідає критичному рівню ризику. За інформацією офіційного проєкту PHP, уразливості можуть призвести до віддаленого виконання коду без автентифікації.
Простіше кажучи, за певних умов зловмиснику не потрібно входити в адміністративну панель сайту, щоб спробувати виконати шкідливі команди на сервері. Успішна атака може відкрити шлях до файлів, даних застосунку та іншої інформації, доступної серверному процесу.
Проблеми пов’язані з обробкою помилок пам’яті та внутрішнього стану запитів у PHP. Це вразливості самого інтерпретатора, а не окремого плагіна WordPress. Тому навіть сайт без застарілих розширень може залишатися під загрозою, якщо використовує незахищену версію PHP.
Для усунення вразливостей команда PHP випустила такі версії:
Ці випуски містять виправлення обох критичних проблем. Перевірити актуальні рекомендації та завантажити оновлення можна в офіційному архіві безпеки PHP.
Окрему увагу потрібно звернути на сервери зі старішими версіями PHP. PHP 8.1 та попередні гілки вже не отримують звичайних оновлень безпосередньо від проєкту, хоча деякі постачальники операційних систем можуть надавати власні виправлення. У такому разі потрібно перевірити рекомендації конкретного постачальника або перейти на підтримувану версію.
Якщо сайт розміщений на керованому хостингу, варто звернутися до технічної підтримки й уточнити, чи встановлено патч. Адміністраторам власних серверів потрібно перевірити встановлені пакети PHP та застосувати відповідне оновлення з урахуванням операційної системи й конфігурації.
Оновити WordPress, тему й плагіни важливо, але в цьому випадку цього недостатньо. CMS використовує PHP на сервері, проте не встановлює автоматично виправлення для самого інтерпретатора.
Навіть сайт із найновішою версією WordPress може залишатися вразливим, якщо сервер працює на PHP без необхідного патча. Перевіряти потрібно саме серверне середовище, а не лише адміністративну панель сайту.
Ризик стосується різних способів запуску PHP, зокрема PHP-FPM, Apache з mod_php, CGI та LiteSpeed. За даними Patchstack, рівень небезпеки особливо високий для конфігурацій Apache з mod_php, де спеціально сформований запит може запустити експлуатацію вразливості ще до виконання коду самого вебзастосунку.
Правила вебзастосункового брандмауера (WAF) можуть допомогти обмежити окремі сценарії атак, але не замінюють повноцінного виправлення. Якщо негайно встановити патч неможливо, потрібно узгодити з хостингом тимчасові заходи захисту. Для критично важливих систем може знадобитися тимчасове обмеження доступу з інтернету до усунення проблеми.
Так. Дослідники Patchstack повідомили, що ще до виходу виправлень отримували від партнерів із хостингу повідомлення про спроби експлуатації. За даними їхньої телеметрії, невдовзі після публікації оновлення спостерігалися розвідувальні запити, хоча на той момент не було переконливих доказів успішних зламів саме через ці нові вразливості.
Після розкриття технічних деталей ризик може зростати. Зловмисники часто аналізують виправлення, щоб зрозуміти механізм помилки, а потім шукають сервери, які ще не оновилися. У повідомленні від 21 жовтня Patchstack рекомендувала адміністраторам установити виправлення якнайшвидше.
Про серйозність ситуації також попередили державні структури з кібербезпеки. CERT-EU рекомендує негайно виправити вразливі системи, а якщо це неможливо — розглянути ізоляцію застосунків, доступних з інтернету, до встановлення патчів. У повідомленні Національного центру кібербезпеки Великої Британії міститься аналогічна рекомендація.
Водночас повідомлення про спроби атак не означають, що кожен незахищений сайт уже зламано. Але відсутність очевидних ознак компрометації також не гарантує безпеки: атака на рівні PHP може залишити мало помітних слідів у звичайних журналах вебзастосунку.
Насамперед потрібно визначити версію PHP, на якій працює сайт, і з’ясувати, чи містить вона виправлення. На хостингу цю інформацію можна отримати в панелі керування або через технічну підтримку. На власному сервері варто перевірити встановлені пакети й рекомендації постачальника операційної системи.
Після оновлення потрібно перевірити журнали сервера, незнайомі облікові записи з адміністративними правами, неочікувані зміни PHP-файлів і підозрілі скрипти. На можливу атаку можуть вказувати незвичайні multipart-запити, повторювані помилки HTTP 500, несподівані перезапуски PHP-процесів або аномальні значення сесійних cookie. Такі ознаки не доводять злам самі по собі, але потребують перевірки.
Якщо є підозра на компрометацію, одного оновлення може бути недостатньо. Потрібно провести розслідування, видалити сторонній код, перевірити резервні копії та змінити паролі, токени й інші облікові дані, які могли потрапити до зловмисників. Важливо також переконатися, що сервер не залишився зі шкідливим скриптом після встановлення виправлення.
Критичні вразливості PHP — нагадування, що безпека сайту залежить не лише від CMS та її плагінів. Серверне середовище потрібно оновлювати окремо, стежити за офіційними бюлетенями й реагувати на повідомлення про загрози без затримок. У цій ситуації головний крок простий: перевірити PHP, встановити виправлену версію та переконатися, що сервер не був скомпрометований до оновлення.
The post Критичні вразливості PHP: хакери атакують сервери та WordPress first appeared on Лайфхакер.
PHP випустила екстрені оновлення через дві критичні вразливості, які дозволяють виконувати код без авторизації. Розповідаємо, кому загрожує атака та як захистити сайт.
The post Критичні вразливості PHP: хакери атакують сервери та WordPress first appeared on Лайфхакер.
Сайт корисних порад і практичних рішень для повсякденного життя. Дізнавайтесь про технології, здоров’я, продуктивність, побут і саморозвиток простими словами.
