Какие версии содержат исправления
В официальном объявлении перечислены PHP 8.5.12, 8.4.27, 8.3.36 и 8.2.35. Это версии соответствующих веток с исправлениями CVE-2026-109618 и CVE-2026-109619. Сопоставлять номер нужно внутри используемой ветки: запись «у нас PHP 8» недостаточно точна, чтобы сделать вывод о защищённости.
С дистрибутивными пакетами есть дополнительная деталь. Поставщик может перенести исправление в свою сборку, сохранив базовый номер версии. Поэтому для серверов, обновляемых через репозиторий операционной системы или поставщика долгосрочной поддержки, важны его бюллетень и ревизия пакета. Один короткий номер не всегда описывает весь набор патчей.
PHP 8.1 и более старые ветки сам проект уже не поддерживает обычными обновлениями безопасности. Для части старых версий предоставлены минимальные исправления исходного кода; это не возвращение им полноценного жизненного цикла поддержки. Если сайт зависит от старой среды, вопрос следует решать с администратором и поставщиком, а не считать возраст версии защитой.
Проблема находится ниже кода сайта
Первая уязвимость связана с обработкой нехватки памяти и частично инициализированных внутренних данных. Вторая — с внутренним состоянием, которое может остаться после освобождения связанной с ним памяти и повлиять на следующий запрос. Это описание механизма от PHP Foundation; оно не означает, что любой сбой памяти на любом сайте уже был атакой.
Проект предупреждает о риске для установок, обслуживающих веб-запросы, включая PHP-FPM и Apache с mod_php. Для mod_php описан особенно серьёзный сценарий: опасная обработка может начаться до выполнения кода приложения. PHP Foundation также сообщает о подтверждённом выполнении кода через прикладные пути в PHP-FPM.
Из-за этого нельзя ограничиться рассуждением, что на сайте нет входа для посторонних пользователей или установлен известный движок. Проверяется серверная среда, которая принимает запросы. Точная оценка конкретной конфигурации остаётся задачей её администратора. Публичная заметка не заменяет такую инвентаризацию.
Что делать владельцу WordPress
Команда WordPress разъяснила: уязвимости относятся к PHP и не являются собственным дефектом WordPress; отдельное обновление WordPress для их устранения не требуется и не планируется. В административной панели версию PHP можно посмотреть в разделе «Инструменты → Здоровье сайта → Информация → Сервер». Аналогичные сведения часто доступны в кабинете хостинга.
Владельцу сайта полезно задать поддержке конкретный вопрос: применены ли исправления для двух указанных CVE к среде, на которой работает его сайт. Ответ «CMS последняя» не закрывает вопрос. Нужен статус PHP или соответствующего пакета, а при управляемом хостинге — подтверждение оператора о выполненном обновлении.
Не меняйте среду вслепую на сайте с заказами или платежами. Подготовьте резервную копию и согласуйте проверку совместимости приложения. Смысл срочности — быстро организовать исправление и проверку, а не произвольно заменить ветку интерпретатора без понимания зависимостей. После работ проверьте вход, формы, загрузку файлов и критичные операции своего приложения.
Проверять нужно все установки
У одной организации PHP может использоваться не только на главном сайте, но и в отдельной панели, старом поддомене или внутреннем приложении. Инвентаризация нужна для всех фактически работающих установок. Обновление одного контейнера не подтверждает состояние остальных сервисов, даже если их обслуживает одна команда.
GovCERT.HK в обновлении бюллетеня от 22 октября сообщил о доступности демонстрационного кода и эксплуатации в реальных условиях. Это атрибутированное сообщение центра реагирования, а не утверждение о взломе вашего сайта. Если обновление невозможно выполнить быстро, временные меры и вопрос доступности внешнего сервиса нужно решать с ответственным администратором по официальным рекомендациям.
PHP публикует меры снижения риска, но прямо предупреждает, что они не делают установку безопасной и полноценным решением остаётся обновление. Поэтому случайная правка одной настройки по совету из обсуждения не должна превращаться в отметку «проблема закрыта». Особенно если не проверено, какая среда реально обслуживает веб-запросы.
Завершённая работа подтверждается установленным исправлением, перезапуском нужных компонентов в рамках процедуры обслуживания и проверкой приложения. Пользователям чужих сайтов устанавливать PHP на свой телефон или браузер не требуется: эта новость прежде всего адресована владельцам, администраторам и хостинг-провайдерам.