--- title: 'Безопасность VPS: чек-лист за октябрь 2026 | Zomro' description: 'Чек-лист безопасности VPS за октябрь 2026: обновления PHP, Node.js, nginx, Redis, PostgreSQL и Linux. Узнайте, что проверить и как защитить сервер.' image: 'https://cdn.zomro.com/uploads/blog/a48%40server-panel.net/2026/10/28/gemini_generated_image_7yqh7yqh7yqh7yqh_q50.jpg' --- ![opened image]() * [Zomro](https://zomro.com/rus/) * [Полезные статьи](https://zomro.com/rus/blog/articles/) * [Безопасность хостинга](https://zomro.com/rus/blog/articles/bezopasnost/) * Чек-лист безопасности VPS: октябрь 2026 # Чек-лист безопасности VPS: октябрь 2026 28-10-2026 ![](https://cdn.zomro.com/uploads/blog/a48%40server-panel.net/2026/10/28/gemini_generated_image_7yqh7yqh7yqh7yqh_q50.jpg) Октябрь 2026 года выдался одним из самых тяжёлых месяцев для безопасности серверов. Критические уязвимости нашли в PHP, Node.js, nginx, GitLab, Redis и даже в сертификатах, которым доверяет весь интернет. Часть из них хакеры уже используют. Мы собрали всё в один список. Это как техосмотр машины: пройдитесь по пунктам и отметьте то, что у вас есть. Начните со сводной таблицы. Если какой-то программы у вас нет, просто пропустите её раздел. ## ## ## Сводная таблица Что | Безопасная версия | Срочность | Атакуют уже? ---|---|---|--- PHP | 8.5.12, 8.4.27, 8.3.36, 8.2.35 | Очень высокая | Да Node.js | 22.23.4, 24.22.1, 26.12.1 | Очень высокая | Да Next.js | 16.4.1+ или 15.5.28+, sharp 0.35.5+ | Высокая | Нет данных GitLab | 19.5.1, 19.4.3, 19.3.6 и др. | Очень высокая | Нет данных nginx | 1.30.6 или 1.31.7 | Высокая | Нет данных Сертификаты (ca-certificates) | Свежий пакет системы | Высокая | Нет данных Redis | 8.10.2, 8.8.3, 8.6.7, 8.4.7, 8.2.10 | Средняя | Нет данных PostgreSQL | 18.6, 17.11, 16.15, 15.19, 14.24 | Средняя | Нет данных Ядро Linux | Свежее ядро системы | Средняя | Нет данных Windows Server | Октябрьские обновления | Высокая | Да > «Атакуют уже» значит, что американское агентство CISA внесло уязвимость в список активно используемых хакерами. Такие нужно закрывать в первую очередь. ## ## 1\. PHP **Что случилось.** Две критические ошибки PHP2Shell позволяют запустить код на сервере без пароля. 26 октября CISA подтвердила, что их уже используют в атаках. Есть и третья ошибка, CVE-2026-115560. Исправления для неё пока нет. **Кого касается.** Всех, у кого сайт на PHP: WordPress, Joomla, Битрикс, Laravel, OpenCart. **Что сделать.** php -v Обновите PHP до версии из таблицы и перезапустите PHP-FPM. Затем добавьте в php.ini строку: session.upload_progress.enabled = 0 Она закрывает третью ошибку, пока нет исправления. Подробная инструкция: **[PHP2Shell: как проверить свой сервер](https://zomro.com/rus/blog/articles/746-php2shell-how-to-check-your-server-and-close-a-dangerous-php-vulnerability)** ## ## ## 2\. Сертификаты (ca-certificates) **Что случилось.** Центр сертификации eMudhra использовал секретные ключи, которые можно угадать за секунду. Один ключ был равен числу 4. С ними можно подделать «защищённый» сайт банка или платёжной системы. Браузеры уже обновились, а серверы нет. **Кого касается.** Почти всех: сайты, скрипты и боты, которые обращаются к API, платёжным системам или почте. **Что сделать.** # Ubuntu и Debian sudo apt update && sudo apt install --only-upgrade ca-certificates # AlmaLinux и Rocky Linux sudo dnf upgrade ca-certificates Отдельно обновите Python (пакет certifi), Node.js, Go и Java. Они хранят свой список сертификатов. Docker-образы пересоберите с флагом `--pull`. Подробная инструкция: [**Ключ от сертификата оказался числом 4**](https://zomro.com/rus/blog/articles/748-the-certificate-key-turned-out-to-be-the-number-4-what-needs-to-be-updated-on-the-server) ## ## ## 3\. Node.js и Next.js **Что случилось.** В распаковщике сжатых данных Brotli нашли ошибку, через которую можно запустить свой код. Node.js исправил её 21 октября, а 27 октября CISA подтвердила, что её уже атакуют. В Next.js нашли две критические ошибки: через SVG-картинки и через кэш. > Важно: Brotli используют не только в Node.js. Его встраивают Python и многие другие программы. Поэтому обновите и системный пакет brotli. Исправленные версии самой библиотеки: 1.0.10, 1.1.1 и 1.2.1. **Кого касается.** Всех, у кого сайты, API или боты на Node.js, и всех сайтов на Next.js. **Что сделать.** node -v npm ls next sharp Обновите Node.js до 22.23.4, 24.22.1 или 26.12.1. Next.js до 16.4.1+ или 15.5.28+, sharp до 0.35.5+. Затем пересоберите и перезапустите приложение. Node.js 20 и более ранние версии исправлений не получат. Подробная инструкция: [**Node.js и Next.js: две критические уязвимости за неделю**](https://zomro.com/rus/blog/articles/749-nodejs-and-nextjs-two-critical-vulnerabilities-in-one-week-and-how-to-protect-your-website) ## ## ## 4\. Redis **Что случилось.** За август и сентябрь Redis закрыл больше десятка уязвимостей. Среди них обход входа по TLS-сертификату, запуск кода через специально подготовленный файл базы и обход прав доступа в транзакциях. А ещё узлы кластера без шифрования могли «пустить» к себе чужой сервер. Redis как сейф с данными сайта. Даже если сейф заперт, плохо, когда его видно с улицы. **Кого касается.** Всех, у кого стоит Redis: кэш сайтов, очереди, сессии, Chatwoot и многие другие сервисы. **Что сделать.** redis-server --version Обновите Redis до 8.10.2, 8.8.3, 8.6.7, 8.4.7 или 8.2.10. Проверьте, что порты 6379 и 16379 закрыты от интернета: ss -ltnp | grep -E ':6379|:16379' Если рядом с портом стоит `0.0.0.0`, Redis слушает все адреса. Закройте порт файрволом или пропишите `bind 127.0.0.1` в настройках. ## ## ## 5\. PostgreSQL **Что случилось.** В августе PostgreSQL закрыл 28 уязвимостей. Это рекорд для одного обновления. Самая громкая получила имя PostGREShell (CVE-2026-6471). Через функцию репликации пользователь, у которого есть только права на репликацию, мог стать полным хозяином базы и запустить свой код на сервере. Ошибке 12 лет, она есть во всех версиях от 9.4 до 18. **Кого касается.** Всех, у кого стоит PostgreSQL версии ниже августовской. **Что сделать.** psql --version Обновите до 18.6, 17.11, 16.15, 15.19 или 14.24. Для обновления внутри одной версии выгружать базу не нужно. Достаточно обновить пакет и перезапустить службу. > **Внимание владельцам PostgreSQL 14.** 12 ноября выйдет последнее обновление для этой версии. После него исправлений не будет. Пора планировать переход на 16, 17 или 18. ## ## ## 6\. Ядро Linux **Что случилось.** За 2026 год в ядре Linux нашли целую серию ошибок с громкими именами: Copy Fail, Dirty Frag, Fragnesia, PinTheft. Все они позволяют обычному пользователю сервера стать администратором (root). Это как гость, которого пустили в прихожую, а он нашёл способ открыть все комнаты и сейф. А в октябре исследователи случайно опубликовали детали ещё семи уязвимостей ядра до выхода исправлений. Две из них в модуле ksmbd. Это встроенный в ядро файловый сервер для сетевых папок Windows. На большинстве серверов он не включён. **Кого касается.** В первую очередь серверов, на которых работает несколько пользователей, сайты разных владельцев или Docker-контейнеры. **Что сделать.** uname -r Обновите систему и перезагрузите сервер. Без перезагрузки новое ядро не заработает. # Ubuntu и Debian sudo apt update && sudo apt upgrade sudo reboot # AlmaLinux и Rocky Linux sudo dnf upgrade kernel sudo reboot Проверьте, не включён ли ksmbd. Если команда ничего не вывела, модуля нет: lsmod | grep ksmbd ## ## ## 7\. Windows Server **Что случилось.** В октябре Microsoft выпустила рекордное обновление: исправлено более 1 400 уязвимостей. Одну из них (CVE-2026-96951) хакеры уже используют. Она позволяет обойти предупреждение Windows о файлах, скачанных из интернета. Это как охранник, который пропускает посылку без проверки, потому что на ней наклеили нужную этикетку. Для серверов особенно опасны критические ошибки в службах: * DHCP Server и Message Queuing: оценка 9.8 из 10; * шлюз удалённого рабочего стола (RD Gateway); * веб-сервер IIS. **Кого касается.** Всех, у кого VPS или выделенный сервер на Windows. **Что сделать.** Установите октябрьские обновления через «Центр обновления Windows» и перезагрузите сервер. Проверить последние установленные обновления можно в PowerShell: Get-HotFix | Sort-Object InstalledOn -Descending | Select-Object -First 5 Если самое свежее обновление старше середины октября, сервер не защищён. ## ## ## 8\. Что ещё стоит проверить **GitLab: максимальная оценка опасности 10 из 10.** 21 октября GitLab исправил ошибку CVE-2026-110264, через которую можно запустить код на сервере без логина. Уязвимы все версии начиная с 7.0, то есть за 12 лет. Даже если вы обновлялись 12 октября, этого мало. Исправленные версии: 19.5.1, 19.4.3, 19.3.6, 19.2.9, 19.1.9, 19.0.10, 18.11.13. sudo gitlab-rake gitlab:env:info | grep -i version **nginx: пять уязвимостей.** 14 октября вышли nginx 1.30.6 и 1.31.7. Три ошибки могут привести к запуску кода, но только при определённых настройках. Одной из них 21 год. Проще обновиться, чем разбираться в настройках. nginx -v **Nextcloud со встроенным офисом Collabora.** Уязвимость CVE-2026-110447 атакуют с сентября. Если у вас стоит приложение `richdocumentscode` версии ниже 26.4.303, обновите или удалите его. Подробнее: Nextcloud и Collabora **Magento и Adobe Commerce.** 27 октября CISA подтвердила атаки через уязвимость CVE-2026-48356 в загрузке файлов. Установите последнее обновление безопасности Adobe. **YOOtheme Pro для Joomla и WordPress.** Ошибка CVE-2026-102785 с оценкой 10 из 10 уже используется для взлома сайтов. Уязвимы версии с 5.0.0 по 5.0.52. Обновите тему до последней версии. **LiteLLM.** 27 октября исправили ошибку с оценкой 10 из 10 в версии Enterprise: можно было без пароля украсть главный ключ. Исправленные версии: 1.106.5, 1.105.6, 1.104.8, 1.103.10. Про отравленный выпуск 1.107.0 читайте в статье Украденные AI-ключи. ## ## ## Что ждать в ноябре Добавьте эти даты в календарь: Когда | Что ---|--- 10 ноября | Ежемесячное обновление безопасности Microsoft для Windows Server 12 ноября | Плановое обновление PostgreSQL. Последнее для PostgreSQL 14 В ближайшие недели | Плановый выпуск PHP с исправлением CVE-2026-115560 31 декабря | PHP 8.2 перестанет получать исправления безопасности Когда выйдет обновление PHP, строку `session.upload_progress.enabled = 0` можно будет убрать. Но только после того, как вы установите новую версию. ## ## ## Итоговый чек-лист * PHP обновлён, добавлена строка `session.upload_progress.enabled = 0` * Пакет ca-certificates обновлён, Docker-образы пересобраны * Node.js, Next.js и sharp обновлены * GitLab обновлён до исправленной версии * nginx обновлён до 1.30.6 или 1.31.7 * Redis обновлён, порты 6379 и 16379 закрыты от интернета * PostgreSQL обновлён до августовской версии * Ядро Linux обновлено, сервер перезагружен * Windows Server получил октябрьские обновления * Проверены Nextcloud, Magento, YOOtheme и LiteLLM, если они есть * Даты ноябрьских обновлений добавлены в календарь ## ## ## Не хотите разбираться сами? В этом списке 10 пунктов, и почти каждый месяц он такой же длинный. Если на сервере работает бизнес, следить за всем этим вручную тяжело. А пропустить одно обновление бывает достаточно для взлома. Для таких случаев у Zomro есть два варианта. ### ### **SOD: пройдём чек-лист за вас** Наш системный администратор: * проверит, какие программы из списка стоят на вашем сервере; * обновит их до безопасных версий; * закроет лишние порты; * перезагрузит сервер в удобное для вас время и проверит, что всё работает. Стоимость: €12.50 за каждые 15 минут работы. [**Заказать проверку сервера**](https://zomro.com/rus/paid-support-services/server-management-services) ### Premium: быстрая помощь, когда она нужна По обычному техническому запросу ответ может занять до 10 часов. С Premium мы отвечаем за время от 5 до 30 минут. Если после обновления что-то сломалось, вы не будете ждать полдня. Новые уязвимости появляются каждую неделю. С Premium вам не придётся разбираться с ними в одиночку. [**Подключить Premium**](https://zomro.com/rus/paid-support-services) Похожие статьи [Безопасность на облачном VPS: как защитить сервер от атак](https://zomro.com/rus/blog/articles/541-security-on-cloud-vps-how-to-protect-the-server-from-attacks) [Чек-лист безопасности VPS: октябрь 2026](https://zomro.com/rus/blog/articles/751-vps-security-checklist-october-2026) [Создаем надежный и безопасный пароль](https://zomro.com/rus/blog/articles/27-sozdaem-nadezhnyy-i-bezopasnyy-parol) [PHP2Shell: как проверить свой сервер и закрыть опасную уязвимость PHP](https://zomro.com/rus/blog/articles/746-php2shell-how-to-check-your-server-and-close-a-dangerous-php-vulnerability) [Nextcloud и Collabora: уязвимость, которую уже используют хакеры](https://zomro.com/rus/blog/articles/750-nextcloud-and-collabora-a-vulnerability-already-being-exploited-by-hackers) [ Выделенный сервер с GPU от €174.80/мес ](/dedicated-servers/type=gpu)