Команда розробників PHP перенесла випуск важливих оновлень безпеки на раніший термін. Дві вразливості отримали по 9,2 бала з 10 за шкалою CVSS v4.0, що свідчить про високий рівень ризику. Спочатку виправлення планували випустити в четвер, однак тепер реліз запланований на середу, 21 жовтня 2026 року, о 14:00 UTC — це 17:00 за київським часом.
Що відомо про небезпечні помилки PHP
PHP використовується на численних сайтах і серверах, а також лежить в основі популярних вебзастосунків, зокрема WordPress і Nextcloud. Тому проблеми безпеки в цій мові програмування можуть зачепити значну кількість онлайн-сервісів.
З анонсованими вразливостями пов’язують ідентифікатори CVE-2026-109618 та CVE-2026-109619. За повідомленнями, за певних умов ці недоліки можуть дозволити виконання шкідливого коду на вразливих серверах.
Водночас технічні подробиці поки не підтверджені офіційно. Команда PHP пообіцяла оприлюднити інформацію про уражені версії та конкретні виправлення разом із виходом оновлень. Розробники також залишають за собою можливість випустити патчі раніше, якщо деталі вразливостей стануть публічними або з’являться відомості про активні атаки.
Що варто зробити власникам сайтів
Поки виправлення не опубліковані, адміністраторам рекомендують перевірити поточну конфігурацію серверів і підготуватися до оперативного встановлення оновлень.
Основні кроки:
- Перевірити версію PHP та стежити за появою офіційних виправлень безпеки.
- Зв’язатися з хостинг-провайдером, щоб з’ясувати, коли він планує оновити сервери.
- Встановити патчі після їхнього випуску або переконатися, що провайдер зробив це самостійно.
- Переглянути доступні засоби захисту на рівні сервера до появи оновлень.
Серед тимчасових заходів також згадується вимкнення параметра PHP session.upload_progress.enabled. Проте наразі офіційно не підтверджено, що ця дія справді знижує ризик, пов’язаний із двома анонсованими вразливостями. Вона в жодному разі не замінює встановлення офіційних виправлень.
Чому важлива реакція хостинг-провайдерів
У випадку спільного хостингу (shared hosting) користувачі часто не мають доступу до самостійного оновлення PHP — цим займається провайдер. Через це власники сайтів можуть залежати від швидкості реакції хостингової компанії.
Тому провайдерам варто заздалегідь підготувати процес оновлення та оперативно повідомити клієнтів про його виконання. Власникам сайтів, зі свого боку, слід стежити за офіційними повідомленнями PHP і не відкладати встановлення виправлень після їхньої публікації.