---
title: 'Критические уязвимости PHP: что делать и как защитить свой сайт'
description: 'Рассказываем, какие меры необходимо принять для защиты сервера и почему важно как можно скорее обновить PHP.'
image: 'https://zomro.com/static/site/images/logo/logo-white.png?v=1792605332'
---

![opened image]()

  * [Zomro](https://zomro.com/rus/)
  * [Новости](https://zomro.com/rus/blog/news/)
  * Критические уязвимости PHP: что делать и как защитить свой сайт 



# Критические уязвимости PHP: что делать и как защитить свой сайт

21-10-2026

**_Здравствуйте, дорогие клиенты Zomro! В PHP обнаружены две критические уязвимости, которые позволяют злоумышленникам удалённо выполнять код на сервере. Под угрозой находятся сайты на PHP, включая WordPress, Bitrix и Drupal. Рассказываем, какие меры необходимо принять для защиты сервера и почему важно как можно скорее обновить PHP._**  


## Что произошло?

  
В PHP обнаружены две критические уязвимости (CVE-2026-109618, CVE-2026-109619, CVSS 9,2 из 10). Они позволяют злоумышленникам удалённо выполнять код на сервере.

Уязвим любой сайт на PHP 5.4 и новее в стандартной конфигурации, включая WordPress, WooCommerce, Bitrix, Drupal и самописные проекты. Наличие форм загрузки файлов на сайте значения не имеет.

Исправления выпущены 21 октября в 14:00 UTC (16:00 CET). Эксплойты уже находятся в открытом доступе, а массовые атаки ожидаются сразу после публикации патчей.  


## До выхода патча

  
Выполните следующие действия:  


  1. Проверьте версию PHP, которая обслуживает ваш сайт: в панели управления или с помощью команды
         
         
         php -v

Если на сервере установлено несколько версий PHP, проверьте каждую из них.

  2. Сделайте резервную копию или снимок сервера.

  3. Включите временную защиту. Она снижает риск, но не устраняет уязвимость полностью:



  * В файле `php.ini` установите
        
        
        session.upload_progress.enabled = Off

для PHP-FPM:
        
        
        php_admin_flag[session.upload_progress.enabled] = off

и перезапустите PHP. По данным разработчиков PHP, одной этой настройки недостаточно.  


  * Заблокируйте multipart-запросы на веб-сервере:

nginx:
        
        
        if ($http_content_type ~* "multipart") { return 403; }

Apache:
        
        
        RewriteCond %{HTTP:Content-Type} multipart [NC]

и
        
        
        RewriteRule ^ - [F,L]




  
**Внимание!** Загрузка файлов через формы и панель администратора перестанет работать (медиафайлы в WordPress, вложения, импорт). Используйте эту меру, только если сайт может временно обходиться без загрузки файлов.  


  * Если сайт работает через Cloudflare или другой WAF, убедитесь, что защитные правила включены. Это дополнительный уровень защиты, а не замена обновлению PHP.  





## После выхода патча  


  1. Обновите PHP до исправленной версии вашей ветки: 8.5.12, 8.4.27, 8.3.36, 8.2.35 или новее.

  2. Если PHP установлен из репозитория дистрибутива (`apt`/`dnf`), установите обновления, как только дистрибутив их выпустит. Пользователям репозитория Remi следует учитывать, что в день выпуска патчей обновления там могут быть ещё недоступны.

  3. После обновления перезапустите PHP-FPM и веб-сервер, затем ещё раз проверьте версию PHP.

  4. Проверьте сайт на признаки взлома: незнакомые `.php`-файлы (особенно в папках загрузок), новые учётные записи администраторов, неизвестные задачи cron и необъяснимый рост нагрузки на процессор.




  
Если вы используете PHP 8.1 или более старую версию, разработчики PHP не будут выпускать официальные исправления для этих веток. Запланируйте переход на PHP 8.2 или новее (рекомендуем PHP 8.4) и предварительно проверьте совместимость CMS и плагинов на тестовой копии. До завершения перехода оставляйте временную защиту включённой.

Похожие статьи

[Теперь в Zomro доступны Cloud VPS в Польше и Выделенные серверы в США!](https://zomro.com/rus/blog/news/564-cloud-vps-in-poland-and-dedicated-servers-in-the-usa-are-now-available-at-zomro) [Fotbo AI: запускайте проекты на базе ИИ дешево и без программистов](https://zomro.com/rus/blog/news/742-fotbo-ai-website-builder-launch-ai-powered-projects-affordably-without-developers) [Обновление сроков удаления неоплаченных услуг](https://zomro.com/rus/blog/news/691-update-on-unpaid-service-deletion-timelines) [Новые VDS/VPS с большими SSD-дисками](https://zomro.com/rus/blog/news/28-novye-vds-vps-s-bolshimi-ssd-diskami) [Изменение цен на лицензии cPanel с 2026 года](https://zomro.com/rus/blog/news/674-change-in-cpanel-license-pricing-starting-from-2026)

[ Сервер для Forex от €7.95/мес ](/rus/server-for-forex)