PHP готовит критическое обновление безопасности, запланированное на 21 октября 2026 года, после выявления двух уязвимостей, каждая из которых получила оценку CVSS v4 9.2, что относит их к категории критических. PHP Foundation объявила о готовящемся релизе 20 октября, призвав пользователей подготовиться к немедленному обновлению, и предупредила, что исправления могут выйти раньше срока, если детали эксплойта станут публичными или появятся признаки активной эксплуатации.

Релиз запланирован на 14:00 UTC, что соответствует 15:00 BST. Параллельно с объявлением PHP Foundation Национальный центр кибербезопасности Великобритании (NCSC) призвал организации выявить уязвимые системы и подготовиться к установке патчей сразу после их выпуска. По словам ведомства, если оперативное устранение невозможно, организациям следует рассмотреть перевод затронутых систем в автономный режим до снижения рисков.

Предварительное уведомление даёт администраторам время на подготовку

Раннее предупреждение PHP Foundation призвано дать администраторам время подготовиться до выхода исправлений. Поскольку релиз может быть перенесён на более ранний срок в любой момент, откладывать подготовку до публикации патчей нельзя.

PHP, или PHP Hypertext Preprocessor, — это серверный язык сценариев, широко используемый для создания сайтов и веб-приложений. Он обрабатывает серверную логику, взаимодействует с базами данных и формирует динамический контент перед отправкой страниц в браузеры пользователей. Такая распространённость делает безопасность PHP важной для организаций, управляющих общедоступными сайтами и приложениями, поскольку уязвимости в языке могут подвергнуть риску зависящие от него системы — в зависимости от характера недостатков и возможности их эксплуатации.

NCSC рекомендует выявить все системы с PHP в инфраструктуре организации, уделяя приоритетное внимание общедоступным из интернета, поскольку они напрямую доступны извне. Администраторам также следует отслеживать эти системы на предмет подозрительной активности и следовать официальным рекомендациям PHP. Ведомство дополнительно советует продолжать следить за обновлениями от сторонних поставщиков, чьи продукты или услуги включают PHP.

PHP Foundation разместила предварительноеведомление в X:

The PHP security team is giving advance notice: Upcoming security release Wed, Oct 21st 2026, 14:00UTC, two critical vulnerabilities, both rated CVSSv4 9.2. PHP users are encouraged to prepare to update. Earlier release if details become public or active exploit evidence.

— The PHP Foundation (@ThePHPF) October 20, 2026

Как обновление может повлиять на операторов сайтов

Запланированный релиз создаёт окно для немедленной подготовки служб безопасности, хостинг-провайдеров и операторов приложений. После публикации патчей администраторам следует оценить затронутые системы и оперативно установить соответствующие обновления.

PHP Foundation также предупредила пользователей, полагающихся на поддерживаемый добровольцами репозиторий Remi RPM, что в день релиза обновлений там не появится. Рекомендуется перейти на пакеты дистрибутива или собрать PHP из исходного кода, чтобы немедленно применить исправления. Это предупреждение важно для операторов, чей процесс патчинга зависит от данного репозитория: возможность быстрого обновления может зависеть от заблаговременной подготовки альтернативного способа установки.

NCSC дополнительно рекомендует отключать системы от сети, когда немедленное устранение невозможно. Эта мера может снизить уровень риска, пока администраторы работают над полным исправлением, хотя она может нарушить доступность сайта.

Для криптовалютных компаний, бирж и провайдеров кошельков, использующих инфраструктуру на базе PHP, применимы те же принципы подготовки. Любой затронутый сервис может столкнуться с рисками безопасности, если администраторы отложат устранение уязвимостей после выхода патчей. Первоочередная задача — подготовка, за которой следуют быстрый патчинг и постоянный мониторинг.

Пока релиз не вышел и его технические детали не раскрыты, администраторам следует следовать официальным рекомендациям PHP Foundation и NCSC, а не предполагать, какие системы уязвимы.

Эта статья основана на материале Blockonomi.