Критични уязвимости в PHP (CVE-2026-109618 и CVE-2026-109619): какво трябва да знаете

October 22, 20268 мин. четене

Извънредно · Сигурност · 22 октомври 2026

Накратко: На 20 октомври 2026 г. изтече информация за две критични уязвимости в PHP, CVE-2026-109618 и CVE-2026-109619, известни и като „PHP2Shell“. При определени условия те позволяват на нападател без парола да изпълни свой код на сървъра. На 21 октомври PHP издаде поправени версии 8.5.12, 8.4.27, 8.3.36 и 8.2.35. Ако сайтът ви е хостван при Comet Riders, уязвимостите вече са отстранени на ниво сървър и не е нужно да правите нищо.

Важно за клиентите на Comet Riders

На 20 октомври 2026 г. беше преждевременно оповестена информация за две критични уязвимости в сигурността на PHP (CVE-2026-109618 и CVE-2026-109619). Двете уязвимости вече са отстранени във всички версии на PHP, налични на нашата хостинг платформа. Инсталирахме официалните актуализации за PHP 8.2 и по-новите версии (PHP 8.5.12, 8.4.27, 8.3.36 и 8.2.35), както и необходимите корекции за сигурност за по-старите версии на PHP. Всички корекции са приложени на ниво сървър и не се изискват допълнителни действия от страна на клиентите за отстраняването на тези уязвимости.

Ако имате въпроси, екипът ни за поддръжка е на разположение 24/7 през страницата Контакти.

Какво се случи: хронология

Подробности за уязвимостите станаха публични на 20 октомври 2026 г., преди планираното координирано оповестяване и преди да има готови поправки. Ден по-късно, на 21 октомври, екипът на PHP издаде нови версии за всички поддържани клонове. Обикновено разработчиците първо подготвят поправката и чак тогава обявяват проблема. Тук редът беше обърнат, затова доставчиците на хостинг и администраторите на сървъри трябваше да реагират изключително бързо.

Илюстрация: Comet Riders. Хронологията се основава на публикациите на PHP и на изследователите по сигурността, посочени в края.

Какво представляват двете уязвимости

И двете уязвимости са грешки в управлението на паметта в ядрото на PHP, а не в конкретен плъгин, тема или CMS. Именно затова засягат практически всеки сайт, който използва PHP за обработка на уеб заявки: WordPress, Joomla, Drupal, онлайн магазини и собствени приложения.

Уязвимост	Вид на грешката	Оценка	Възможно въздействие
CVE-2026-109618	Повреда на паметта при обработка на ситуация с недостиг на памет (out of memory). PHP отбелязва част от състоянието като готово, преди всички заделяния на памет да са приключили.	CVSS v4.0: 9,2 (критична)	Изпълнение на чужд код без вход в системата
CVE-2026-109619	Използване на вече освободена памет (use after free). Остатъчно състояние от една заявка сочи към освободена памет, която следваща заявка към същия процес може да използва.	CVSS v4.0: 9,2 (критична)	Изпълнение на чужд код, изтичане на данни от паметта

С по-прости думи: при специално подготвена заявка PHP може да се „обърка“ какво има в паметта си. Умел нападател може да използва това, за да накара сървъра да изпълни команди с правата на уеб процеса. Затова изследователите наричат проблема PHP2Shell, тоест „от PHP до команден ред“.

Засегнати и поправени версии на PHP

Поправките са в PHP 8.5.12, 8.4.27, 8.3.36 и 8.2.35. По-старите версии на всеки поддържан клон са уязвими. За клоновете, които вече не се поддържат официално (8.1, 8.0, 7.4 и по-стари), няма нови официални версии. Според публикациите на изследователите за някои от тях са налични корекции под формата на изходен код, които доставчиците могат да приложат сами.

Клон на PHP	Поправена версия	Статус
8.5	8.5.12	официална поправка
8.4	8.4.27	официална поправка
8.3	8.3.36	официална поправка
8.2	8.2.35	официална поправка
8.1 и по-стари	няма нова официална версия	корекции само от доставчика на хостинг или дистрибуцията

При Comet Riders: поправени са всички версии на PHP, които предлагаме, включително по-старите. Ако сайтът ви все още работи на версия преди 8.2, той е защитен срещу тези две уязвимости, но е добре да планирате преминаване към по-нова версия, защото старите клонове вече не получават редовни поправки от PHP.

Защо са толкова сериозни

Не е нужен вход. Нападателят не се нуждае от парола или профил в сайта.
Засегнато е ядрото на PHP. Уязвими са всички често използвани начини за работа на PHP: PHP-FPM, Apache с mod_php, php-cgi, FrankenPHP и LiteSpeed.
Информацията изтече преди поправките. Няколко компании за сигурност съобщават за сканиране и опити за атаки. Данните за реалните атаки се различават според източника: някои отчитат само проучвателни опити, други съобщават за използване на практика.
Мащаб. Според Palo Alto Networks (Unit 42) над 22,6 милиона достъпни от интернет инсталации може да са засегнати.

Какво означава „поправка на ниво сървър“

PHP не е част от вашия сайт, а програма, инсталирана на сървъра на хостинга. Когато доставчикът я обнови, защитата важи автоматично за всички сайтове на този сървър. Не е нужно да качвате файлове, да сменяте пароли или да обновявате WordPress заради тези две уязвимости.

Илюстрация: Comet Riders. Поправката в слоя PHP защитава всички сайтове над него, без промени в самите сайтове.

Повече за това как работи сървърът, на който е сайтът ви, обяснихме в статиите Какво е уеб хостинг и как работи и Видове хостинг: споделен, VPS, облачен и нает сървър. При споделения хостинг обновяването на PHP е грижа на доставчика. При VPS и нает сървър отговорността обикновено е ваша.

Ако сайтът ви е при друг доставчик или на собствен сървър

Проверете версията на PHP и я обновете до поправена версия възможно най-скоро. Ето практически пример за собствен сървър:

Вижте текущата версия с командата php -v. Имайте предвид, че уеб сървърът може да използва различна версия от командния ред; в контролния панел на хостинга обикновено има информация за версията на сайта.
Ако версията е по-стара от 8.5.12, 8.4.27, 8.3.36 или 8.2.35 в съответния клон, обновете PHP през пакетния мениджър на дистрибуцията си или от официалния сайт php.net.
След обновяването рестартирайте всички PHP процеси (например услугата PHP-FPM или уеб сървъра). Старите процеси продължават да работят със стария код, докато не бъдат рестартирани. Ако използвате контейнери, изградете образите наново.
Ако сте на споделен хостинг при друга фирма, попитайте поддръжката дали поправките вече са приложени.

Временни мерки: PHP и компаниите за сигурност описват временни настройки, които намаляват риска, докато обновите (например изключване на session.upload_progress.enabled). Те не са пълна защита. Единственото пълно решение е обновяване до поправена версия.

Добри практики след инцидента

Тези уязвимости са поправени на нашите сървъри, но инцидентът е добро напомняне за основните правила за сигурност на сайта:

Използвайте поддържана версия на PHP, днес 8.2 или по-нова. Старите клонове получават поправки само ако доставчикът ви ги подготви сам.
Обновявайте WordPress, темите и плъгините. Повечето пробиви в сайтове идват от остарели разширения, а не от PHP.
Пазете резервни копия извън сайта и проверявайте, че могат да бъдат възстановени.
Използвайте силни пароли и двуфакторна защита за администраторските профили и контролния панел.
Включете HTTPS за целия сайт. Как работи шифроването обяснихме в Какво е SSL сертификат и защо е задължителен.

Често задавани въпроси

Трябва ли да направя нещо, ако сайтът ми е хостван при Comet Riders?

Не. Поправките за CVE-2026-109618 и CVE-2026-109619 са приложени на ниво сървър за всички версии на PHP, които предлагаме. Не е нужно да сменяте настройки или да качвате файлове.

Сайтът ми използва стара версия на PHP. Защитен ли е?

При Comet Riders да: приложихме корекции за сигурност и за по-старите версии на PHP. Все пак препоръчваме преминаване към PHP 8.2 или по-нова, защото старите клонове вече не получават редовни официални поправки.

Засегнат ли е WordPress?

Уязвимостите са в самия PHP, а не в WordPress. Затова засягат всеки сайт на PHP, включително WordPress, ако сървърът използва непоправена версия. Обновяването на WordPress не отстранява тези две уязвимости, обновяването на PHP го прави.

Какво е PHP2Shell?

Това е неофициалното име, с което изследователите по сигурността наричат двете уязвимости CVE-2026-109618 и CVE-2026-109619, защото при успешна атака позволяват изпълнение на команди на сървъра.

Как да проверя каква версия на PHP използва сайтът ми?

Най-лесно е в контролния панел на хостинга, в раздела за настройки на PHP. На собствен сървър може да използвате командата php -v, но имайте предвид, че уеб сървърът може да работи с различна версия.

Има ли изтекли данни на клиенти?

Публикацията на 20 октомври съдържаше информация за самите уязвимости в PHP, а не данни на потребители или сайтове. Ако забележите нещо необичайно в сайта си, свържете се с поддръжката ни.

Обобщение

CVE-2026-109618 и CVE-2026-109619 са сред най-сериозните уязвимости в PHP от години, защото засягат ядрото на езика и могат да позволят изпълнение на код без вход. PHP издаде поправени версии на 21 октомври 2026 г. На хостинг платформата на Comet Riders поправките вече са приложени на ниво сървър за всички версии на PHP и клиентите ни не трябва да правят нищо. Ако сайтът ви е другаде, проверете версията на PHP и я обновете възможно най-скоро.

Хостинг, за който се грижим ние

Обновяваме сървърите вместо вас, а поддръжката ни работи 24/7.

Вижте хостинг плановете

Прочетете още

Източници

Публикувано на 22 октомври 2026 г. Статията ще бъде обновена при ново развитие. Подготвена с помощта на AI и проверена спрямо посочените източници.

#CVE-2026-109618 #CVE-2026-109619 #PHP #PHP2Shell #сигурност #уязвимост