Критические RCE в PHP: срочно обновляемся 🚨

Выкатили экстренные обновления PHP. Нашли сразу две критические уязвимости. Риск максимальный для mod_php — хакер может пробить сервер обычным HTTP-запросом ещё до того, как начнёт исполняться код вашего приложения.

Что эти дыры позволяют сделать хакерам?

• Сбой очистки памяти (CVE-2026-109618): Злоумышленник может искусственно вызвать ошибку нехватки памяти (OOM) во время инициализации запроса. Из-за бага обработчик очистки начнёт считать повреждённые данные валидными, что приводит к выполнению стороннего кода с правами веб-сервера.
• Захват чужих воркеров (CVE-2026-109619): Атакующий может «отравить» внутреннее состояние процесса, которое не очищается после освобождения памяти. Следующий запрос, попавший в этот же воркер, подхватит устаревшее состояние до инициализации, давая хакеру контроль над исполнением.

Как защититься?

1. Обновиться: PHP 8.5.12, 8.4.27, 8.3.36 или 8.2.35 (минимальные патчи выпустили даже для старых 7.4, 8.0 и 8.1).
2. Временный mitigation: Поставить memory_limit=-1, ограничить post_max_size (8M / 32M), отключить session.upload_progress.enabled=0 и на PHP 8.5 fatal_error_backtraces=0 с перезапуском всех воркеров.

Учитывая, что порядка 70% интернета использует PHP, вообще непонятно, как владельцы сайтов будут латать эту дыру. Думаю, большинство вообще ничего делать не станет — вся надежда только на то, что хостинг-провайдеры сами тихо обновят инфраструктуру.

Читать официальный пост

Дополнение: скилл php2shell-checker от OpenAI

Вдогонку к новости про критические уязвимости в PHP — OpenAI выкатила официальный скилл для своих агентов под названием php2shell-checker.

Работает всё предельно просто: даёте нейросети URL вашего сайта, а скилл сам сканирует сервер на наличие этих свежих RCE, проверяет конфигурацию и, если находит уязвимость, сразу предлагает фикс.

Скилл здесь

Подписывайтесь на мой Telegram-канал