Команда PHP готує термінове оновлення через дві критичні вразливості, кожна з яких отримала оцінку 9,2 за шкалою CVSS 4.0. Випуск запланований на 21 жовтня 2026 року, 17:00 за Києвом. Patchstack уже повідомляє про випадки експлуатації зі слів кількох хостинг-партнерів.
В офіційному попередженні PHP розробники закликають підготуватися до встановлення виправлень одразу після їх появи. Технічні подробиці, перелік уражених версій і номери виправлених випусків обіцяють оприлюднити разом з оновленням. За потреби його можуть випустити раніше.
CERT-EU називає ідентифікатори CVE-2026-109618 та CVE-2026-109619 і попереджає про потенційну можливість віддаленого виконання коду без автентифікації. Це означає ризик запуску стороннього коду на вразливому сервері. Водночас точні умови атаки поки не розкриті.
PHP використовують WordPress, Drupal, Joomla, Magento та багато інших вебзастосунків. Проте сама назва CMS ще не доводить, що конкретний сайт можна зламати. CERT-EU припускає, що проблема може зачіпати версії починаючи з PHP 5, але остаточного підтвердженого переліку від розробників наразі немає.
Patchstack повідомила про експлуатацію на основі звернень хостинг-партнерів. Компанія також посилається на заяву технічного директора Cloudflare про ранні атаки та початкові правила захисту WAF. Такі правила варто розглядати як тимчасовий захід: вони не замінюють виправлення PHP.
Рекомендація CERT-EU — визначити системи, які використовують PHP, і підготувати їх до негайного оновлення. Якщо швидко встановити виправлення неможливо, служба радить розглянути ізоляцію доступних з інтернету застосунків. Це рекомендація оцінити ризик і обмежити доступ за потреби, а не вимога вимкнути всі PHP-сайти.
Оновлення WordPress, тем чи плагінів цих виправлень не встановить. PHP працює на сервері, тому оновлювати його має хостинг-провайдер або адміністратор. У WordPress поточну версію можна переглянути в розділі стану здоров’я сайту: на вкладці інформації потрібно відкрити блок сервера. Зараз варто уточнити, хто встановлюватиме оновлення, підготувати резервну копію файлів і бази даних та перевірити можливість відновлення.
Рівень, на якому потрібно усунути проблему, має значення. Під час нещодавніх атак через вразливість Ninja Forms виправлення стосувалося плагіна. Нинішнє попередження стосується самого PHP, на якому працює сайт.
Офіційні виправлення безпеки PHP наразі отримують гілки 8.2–8.5. Для старіших версій потрібно уточнювати варіанти переходу або підтримки у постачальника. Пакети дистрибутива, панелі керування чи хостингу можуть з’явитися за окремим графіком, тому після офіційного релізу важливо перевірити доступність виправлення саме для свого середовища.