Чек-лист безопасности VPS: октябрь 2026

Октябрь 2026 года выдался одним из самых тяжёлых месяцев для безопасности серверов. Критические уязвимости нашли в PHP, Node.js, nginx, GitLab, Redis и даже в сертификатах, которым доверяет весь интернет. Часть из них хакеры уже используют.

Мы собрали всё в один список. Это как техосмотр машины: пройдитесь по пунктам и отметьте то, что у вас есть. Начните со сводной таблицы. Если какой-то программы у вас нет, просто пропустите её раздел.

Сводная таблица

«Атакуют уже» значит, что американское агентство CISA внесло уязвимость в список активно используемых хакерами. Такие нужно закрывать в первую очередь.

1. PHP

Что случилось. Две критические ошибки PHP2Shell позволяют запустить код на сервере без пароля. 26 октября CISA подтвердила, что их уже используют в атаках. Есть и третья ошибка, CVE-2026-115560. Исправления для неё пока нет.

Кого касается. Всех, у кого сайт на PHP: WordPress, Joomla, Битрикс, Laravel, OpenCart.

Что сделать.

php -v

Обновите PHP до версии из таблицы и перезапустите PHP-FPM. Затем добавьте в php.ini строку:

session.upload_progress.enabled = 0

Она закрывает третью ошибку, пока нет исправления.

Подробная инструкция: PHP2Shell: как проверить свой сервер

2. Сертификаты (ca-certificates)

Что случилось. Центр сертификации eMudhra использовал секретные ключи, которые можно угадать за секунду. Один ключ был равен числу 4. С ними можно подделать «защищённый» сайт банка или платёжной системы. Браузеры уже обновились, а серверы нет.

Кого касается. Почти всех: сайты, скрипты и боты, которые обращаются к API, платёжным системам или почте.

Что сделать.

# Ubuntu и Debian
sudo apt update && sudo apt install --only-upgrade ca-certificates

# AlmaLinux и Rocky Linux
sudo dnf upgrade ca-certificates

Отдельно обновите Python (пакет certifi), Node.js, Go и Java. Они хранят свой список сертификатов. Docker-образы пересоберите с флагом --pull.

Подробная инструкция: Ключ от сертификата оказался числом 4

3. Node.js и Next.js

Что случилось. В распаковщике сжатых данных Brotli нашли ошибку, через которую можно запустить свой код. Node.js исправил её 21 октября, а 27 октября CISA подтвердила, что её уже атакуют. В Next.js нашли две критические ошибки: через SVG-картинки и через кэш.

Важно: Brotli используют не только в Node.js. Его встраивают Python и многие другие программы. Поэтому обновите и системный пакет brotli. Исправленные версии самой библиотеки: 1.0.10, 1.1.1 и 1.2.1.

Кого касается. Всех, у кого сайты, API или боты на Node.js, и всех сайтов на Next.js.

Что сделать.

node -v
npm ls next sharp

Обновите Node.js до 22.23.4, 24.22.1 или 26.12.1. Next.js до 16.4.1+ или 15.5.28+, sharp до 0.35.5+. Затем пересоберите и перезапустите приложение. Node.js 20 и более ранние версии исправлений не получат.

Подробная инструкция: Node.js и Next.js: две критические уязвимости за неделю

4. Redis

Что случилось. За август и сентябрь Redis закрыл больше десятка уязвимостей. Среди них обход входа по TLS-сертификату, запуск кода через специально подготовленный файл базы и обход прав доступа в транзакциях. А ещё узлы кластера без шифрования могли «пустить» к себе чужой сервер.

Redis как сейф с данными сайта. Даже если сейф заперт, плохо, когда его видно с улицы.

Кого касается. Всех, у кого стоит Redis: кэш сайтов, очереди, сессии, Chatwoot и многие другие сервисы.

Что сделать.

redis-server --version

Обновите Redis до 8.10.2, 8.8.3, 8.6.7, 8.4.7 или 8.2.10. Проверьте, что порты 6379 и 16379 закрыты от интернета:

ss -ltnp | grep -E ':6379|:16379'

Если рядом с портом стоит 0.0.0.0, Redis слушает все адреса. Закройте порт файрволом или пропишите bind 127.0.0.1 в настройках.

5. PostgreSQL

Что случилось. В августе PostgreSQL закрыл 28 уязвимостей. Это рекорд для одного обновления. Самая громкая получила имя PostGREShell (CVE-2026-6471). Через функцию репликации пользователь, у которого есть только права на репликацию, мог стать полным хозяином базы и запустить свой код на сервере. Ошибке 12 лет, она есть во всех версиях от 9.4 до 18.

Кого касается. Всех, у кого стоит PostgreSQL версии ниже августовской.

Что сделать.

psql --version

Обновите до 18.6, 17.11, 16.15, 15.19 или 14.24. Для обновления внутри одной версии выгружать базу не нужно. Достаточно обновить пакет и перезапустить службу.

Внимание владельцам PostgreSQL 14. 12 ноября выйдет последнее обновление для этой версии. После него исправлений не будет. Пора планировать переход на 16, 17 или 18.

6. Ядро Linux

Что случилось. За 2026 год в ядре Linux нашли целую серию ошибок с громкими именами: Copy Fail, Dirty Frag, Fragnesia, PinTheft. Все они позволяют обычному пользователю сервера стать администратором (root).

Это как гость, которого пустили в прихожую, а он нашёл способ открыть все комнаты и сейф.

А в октябре исследователи случайно опубликовали детали ещё семи уязвимостей ядра до выхода исправлений. Две из них в модуле ksmbd. Это встроенный в ядро файловый сервер для сетевых папок Windows. На большинстве серверов он не включён.

Кого касается. В первую очередь серверов, на которых работает несколько пользователей, сайты разных владельцев или Docker-контейнеры.

Что сделать.

uname -r

Обновите систему и перезагрузите сервер. Без перезагрузки новое ядро не заработает.

# Ubuntu и Debian
sudo apt update && sudo apt upgrade
sudo reboot

# AlmaLinux и Rocky Linux
sudo dnf upgrade kernel
sudo reboot

Проверьте, не включён ли ksmbd. Если команда ничего не вывела, модуля нет:

lsmod | grep ksmbd

7. Windows Server

Что случилось. В октябре Microsoft выпустила рекордное обновление: исправлено более 1 400 уязвимостей. Одну из них (CVE-2026-96951) хакеры уже используют. Она позволяет обойти предупреждение Windows о файлах, скачанных из интернета. Это как охранник, который пропускает посылку без проверки, потому что на ней наклеили нужную этикетку.

Для серверов особенно опасны критические ошибки в службах:

• DHCP Server и Message Queuing: оценка 9.8 из 10;
• шлюз удалённого рабочего стола (RD Gateway);
• веб-сервер IIS.

Кого касается. Всех, у кого VPS или выделенный сервер на Windows.

Что сделать. Установите октябрьские обновления через «Центр обновления Windows» и перезагрузите сервер. Проверить последние установленные обновления можно в PowerShell:

Get-HotFix | Sort-Object InstalledOn -Descending | Select-Object -First 5

Если самое свежее обновление старше середины октября, сервер не защищён.

8. Что ещё стоит проверить

GitLab: максимальная оценка опасности 10 из 10. 21 октября GitLab исправил ошибку CVE-2026-110264, через которую можно запустить код на сервере без логина. Уязвимы все версии начиная с 7.0, то есть за 12 лет. Даже если вы обновлялись 12 октября, этого мало. Исправленные версии: 19.5.1, 19.4.3, 19.3.6, 19.2.9, 19.1.9, 19.0.10, 18.11.13.

sudo gitlab-rake gitlab:env:info | grep -i version

nginx: пять уязвимостей. 14 октября вышли nginx 1.30.6 и 1.31.7. Три ошибки могут привести к запуску кода, но только при определённых настройках. Одной из них 21 год. Проще обновиться, чем разбираться в настройках.

nginx -v

Nextcloud со встроенным офисом Collabora. Уязвимость CVE-2026-110447 атакуют с сентября. Если у вас стоит приложение richdocumentscode версии ниже 26.4.303, обновите или удалите его. Подробнее: Nextcloud и Collabora

Magento и Adobe Commerce. 27 октября CISA подтвердила атаки через уязвимость CVE-2026-48356 в загрузке файлов. Установите последнее обновление безопасности Adobe.

YOOtheme Pro для Joomla и WordPress. Ошибка CVE-2026-102785 с оценкой 10 из 10 уже используется для взлома сайтов. Уязвимы версии с 5.0.0 по 5.0.52. Обновите тему до последней версии.

LiteLLM. 27 октября исправили ошибку с оценкой 10 из 10 в версии Enterprise: можно было без пароля украсть главный ключ. Исправленные версии: 1.106.5, 1.105.6, 1.104.8, 1.103.10. Про отравленный выпуск 1.107.0 читайте в статье Украденные AI-ключи.

Что ждать в ноябре

Добавьте эти даты в календарь:

Когда выйдет обновление PHP, строку session.upload_progress.enabled = 0 можно будет убрать. Но только после того, как вы установите новую версию.

Итоговый чек-лист

• PHP обновлён, добавлена строка session.upload_progress.enabled = 0
• Пакет ca-certificates обновлён, Docker-образы пересобраны
• Node.js, Next.js и sharp обновлены
• GitLab обновлён до исправленной версии
• nginx обновлён до 1.30.6 или 1.31.7
• Redis обновлён, порты 6379 и 16379 закрыты от интернета
• PostgreSQL обновлён до августовской версии
• Ядро Linux обновлено, сервер перезагружен
• Windows Server получил октябрьские обновления
• Проверены Nextcloud, Magento, YOOtheme и LiteLLM, если они есть
• Даты ноябрьских обновлений добавлены в календарь

Не хотите разбираться сами?

В этом списке 10 пунктов, и почти каждый месяц он такой же длинный. Если на сервере работает бизнес, следить за всем этим вручную тяжело. А пропустить одно обновление бывает достаточно для взлома.

Для таких случаев у Zomro есть два варианта.

SOD: пройдём чек-лист за вас

Наш системный администратор:

• проверит, какие программы из списка стоят на вашем сервере;
• обновит их до безопасных версий;
• закроет лишние порты;
• перезагрузит сервер в удобное для вас время и проверит, что всё работает.

Стоимость: €12.50 за каждые 15 минут работы.

Заказать проверку сервера

Premium: быстрая помощь, когда она нужна

По обычному техническому запросу ответ может занять до 10 часов. С Premium мы отвечаем за время от 5 до 30 минут. Если после обновления что-то сломалось, вы не будете ждать полдня.

Новые уязвимости появляются каждую неделю. С Premium вам не придётся разбираться с ними в одиночку.

Подключить Premium