Чек-лист безпеки VPS: жовтень 2026 року

Жовтень 2026 року став одним із найскладніших місяців для безпеки серверів. Критичні вразливості знайшли в PHP, Node.js, nginx, GitLab, Redis і навіть у сертифікатах, яким довіряє весь інтернет. Частину з них хакери вже використовують.

Ми зібрали все в один список. Це як техогляд автомобіля: пройдіться пунктами та позначте те, що стосується вашого сервера. Почніть зі зведеної таблиці. Якщо якоїсь програми у вас немає, просто пропустіть відповідний розділ.

Зведена таблиця

«Уже атакують» означає, що американське агентство з кібербезпеки CISA внесло вразливість до переліку тих, які активно використовують хакери. Їх потрібно усувати насамперед.

1. PHP

Що сталося. Дві критичні помилки PHP2Shell дають змогу виконувати код на сервері без пароля. 26 жовтня CISA підтвердила, що їх уже використовують в атаках. Є й третя помилка — CVE-2026-115560. Виправлення для неї поки що немає.

Кого стосується. Усіх, чиї сайти працюють на PHP: WordPress, Joomla, Бітрікс, Laravel, OpenCart.

Що зробити

php -v

Оновіть PHP до версії з таблиці та перезапустіть PHP-FPM. Потім додайте до php.ini рядок:

session.upload_progress.enabled = 0

Це захищає від третьої помилки, поки не з'явилося виправлення.

Докладна інструкція: PHP2Shell: як перевірити свій сервер

2. Сертифікати (ca-certificates)

Що сталося. Центр сертифікації eMudhra використовував приватні ключі, які можна вгадати за секунду. Один із ключів дорівнював числу 4. З їхньою допомогою можна підробити «захищений» сайт банку чи платіжної системи. Браузери вже оновилися, а сервери — не обов'язково.

Кого стосується. Майже всіх: сайтів, скриптів і ботів, які звертаються до API, платіжних систем або пошти.

Що зробити

# Ubuntu и Debian
sudo apt update && sudo apt install --only-upgrade ca-certificates

# AlmaLinux и Rocky Linux
sudo dnf upgrade ca-certificates

Окремо оновіть Python (пакет certifi), Node.js, Go та Java. Вони зберігають власні списки сертифікатів. Docker-образи перезберіть із прапорцем --pull.

Докладна інструкція: Ключ від сертифіката виявився числом 4

3. Node.js і Next.js

Що сталося. У розпаковувачі стиснених даних Brotli знайшли помилку, через яку можна виконати сторонній код. Node.js виправив її 21 жовтня, а 27 жовтня CISA підтвердила, що її вже експлуатують. У Next.js знайшли дві критичні помилки: через SVG-зображення та через кеш.

Важливо: Brotli використовують не лише в Node.js. Його вбудовують у Python і багато інших програм. Тому оновіть також системний пакет brotli. Виправлені версії самої бібліотеки: 1.0.10, 1.1.1 і 1.2.1.

Кого стосується. Усіх, у кого сайти, API чи боти працюють на Node.js, а також усіх сайтів на Next.js.

Що зробити

node -v
npm ls next sharp

Оновіть Node.js до 22.23.4, 24.22.1 або 26.12.1, Next.js — до 16.4.1+ або 15.5.28+, sharp — до 0.35.5+. Потім перезберіть і перезапустіть застосунок. Node.js 20 та попередні версії виправлень не отримають.

Докладна інструкція: Node.js і Next.js: дві критичні вразливості за тиждень

4. Redis

Що сталося. У серпні та вересні Redis усунув понад десяток вразливостей. Серед них — обхід автентифікації за TLS-сертифікатом, виконання коду через спеціально підготовлений файл бази даних та обхід прав доступу в транзакціях. А ще вузли кластера без шифрування могли «впустити» сторонній сервер.

Redis — як сейф із даними сайту. Навіть якщо він замкнений, погано, коли його видно з вулиці.

Кого стосується. Усіх, хто використовує Redis: для кешу сайтів, черг, сесій, Chatwoot та багатьох інших сервісів.

Що зробити

redis-server --version

Оновіть Redis до 8.10.2, 8.8.3, 8.6.7, 8.4.7 або 8.2.10. Перевірте, що порти 6379 і 16379 закриті для доступу з інтернету:

ss -ltnp | grep -E ':6379|:16379'

Якщо поруч із портом зазначено 0.0.0.0, Redis прослуховує всі адреси. Закрийте порт брандмауером або вкажіть bind 127.0.0.1 у налаштуваннях.

5. PostgreSQL

Що сталося. У серпні PostgreSQL усунув 28 вразливостей. Це рекорд для одного оновлення. Найгучнішу назвали PostGREShell (CVE-2026-6471). Через функцію реплікації користувач, який мав лише права на реплікацію, міг отримати повний контроль над базою та виконати свій код на сервері. Помилці 12 років, вона є в усіх версіях від 9.4 до 18.

Кого стосується. Усіх, хто використовує PostgreSQL версії, старішої за серпневу.

Що зробити

psql --version

Оновіть до 18.6, 17.11, 16.15, 15.19 або 14.24. Для оновлення в межах однієї основної версії не потрібно робити дамп бази. Достатньо оновити пакет і перезапустити службу.

Увага власникам PostgreSQL 14: 12 листопада вийде останнє оновлення для цієї версії. Після нього виправлень більше не буде. Час планувати перехід на 16, 17 або 18.

6. Ядро Linux

Що сталося. Протягом 2026 року в ядрі Linux знайшли цілу серію помилок із гучними назвами: Copy Fail, Dirty Frag, Fragnesia, PinTheft. Усі вони дозволяють звичайному користувачеві сервера отримати права адміністратора (root).

Це наче гостя впустили до передпокою, а він знайшов спосіб відчинити всі кімнати й сейф.

А в жовтні дослідники випадково опублікували подробиці ще семи вразливостей ядра до виходу виправлень. Дві з них — у модулі ksmbd. Це вбудований у ядро файловий сервер для мережевих папок Windows. На більшості серверів його не ввімкнено.

Кого стосується. Насамперед серверів, на яких працюють кілька користувачів, сайти різних власників або Docker-контейнери.

Що зробити

uname -r

Оновіть систему та перезавантажте сервер. Без перезавантаження нове ядро не запрацює.

# Ubuntu и Debian
sudo apt update && sudo apt upgrade
sudo reboot

# AlmaLinux и Rocky Linux
sudo dnf upgrade kernel
sudo reboot

Перевірте, чи завантажений ksmbd. Якщо команда нічого не вивела, модуль не завантажений:

lsmod | grep ksmbd

7. Windows Server

Що сталося. У жовтні Microsoft випустила рекордне оновлення: виправлено понад 1 400 вразливостей. Одну з них (CVE-2026-96951) хакери вже використовують. Вона дозволяє обійти попередження Windows щодо файлів, завантажених з інтернету. Це як охоронець, який пропускає посилку без перевірки, бо на неї наклеїли потрібну етикетку.

Для серверів особливо небезпечні критичні помилки в службах:

• DHCP Server і Message Queuing: оцінка 9,8 із 10;
• шлюз віддаленого робочого стола (RD Gateway);
• вебсервер IIS.

Кого стосується. Усіх, у кого VPS або виділений сервер на Windows.

Що зробити. Установіть жовтневі оновлення через Центр оновлення Windows і перезавантажте сервер. Перевірити останні встановлені оновлення можна в PowerShell:

Get-HotFix | Sort-Object InstalledOn -Descending | Select-Object -First 5

Якщо найновіше оновлення старіше за середину жовтня, сервер не захищений.

8. Що ще варто перевірити

GitLab: максимальна оцінка небезпеки — 10 із 10. 21 жовтня GitLab виправив CVE-2026-110264, через яку можна виконати код на сервері без входу в систему. Уразливі всі версії починаючи з 7.0, тобто за 12 років. Навіть якщо ви оновлювалися 12 жовтня, цього недостатньо. Виправлені версії: 19.5.1, 19.4.3, 19.3.6, 19.2.9, 19.1.9, 19.0.10, 18.11.13.

sudo gitlab-rake gitlab:env:info | grep -i version

nginx: п'ять вразливостей. 14 жовтня вийшли nginx 1.30.6 та 1.31.7. Три помилки можуть призвести до виконання коду, але лише за певних налаштувань. Одній із них 21 рік. Простіше оновитися, ніж розбиратися з усіма налаштуваннями.

nginx -v

Nextcloud із вбудованим офісом Collabora. Уразливість CVE-2026-110447 атакують із вересня. Якщо у вас встановлений застосунок richdocumentscode версії нижче 26.4.303, оновіть або видаліть його. Докладніше: Nextcloud і Collabora.

Magento та Adobe Commerce. 27 жовтня CISA підтвердила атаки через вразливість CVE-2026-48356 у механізмі завантаження файлів. Установіть останнє оновлення безпеки Adobe.

YOOtheme Pro для Joomla та WordPress. Помилку CVE-2026-102785 з оцінкою 10 із 10 уже використовують для злому сайтів. Уразливі версії від 5.0.0 до 5.0.52. Оновіть тему до останньої версії.

LiteLLM. 27 жовтня у версії Enterprise виправили помилку з оцінкою 10 із 10: без пароля можна було викрасти головний ключ. Виправлені версії: 1.106.5, 1.105.6, 1.104.8, 1.103.10. Про заражений випуск 1.107.0 читайте у статті Викрадені AI-ключі.

Чого чекати в листопаді

Додайте ці дати до календаря:

Коли вийде оновлення PHP, рядок session.upload_progress.enabled = 0 можна буде прибрати. Але тільки після встановлення нової версії.

Підсумковий чек-лист

• PHP оновлено, додано рядок session.upload_progress.enabled = 0.
• Пакет ca-certificates оновлено, Docker-образи перезібрано.
• Node.js, Next.js і sharp оновлено.
• GitLab оновлено до виправленої версії.
• nginx оновлено до 1.30.6 або 1.31.7.
• Redis оновлено, порти 6379 і 16379 закрито для доступу з інтернету.
• PostgreSQL оновлено до серпневої версії.
• Ядро Linux оновлено, сервер перезавантажено.
• Windows Server отримав жовтневі оновлення.
• Перевірено Nextcloud, Magento, YOOtheme та LiteLLM, якщо їх встановлено.
• Дати листопадових оновлень додано до календаря.

Не хочете розбиратися самостійно?

У цьому списку 10 пунктів, і майже щомісяця він такий самий довгий. Якщо на сервері працює ваш бізнес, стежити за всім вручну складно. А пропустити лише одне оновлення іноді достатньо для злому.

Для таких випадків у Zomro є два варіанти.

SOD: пройдемо чек-лист за вас

Наш системний адміністратор:

• перевірить, які програми зі списку встановлені на вашому сервері;
• оновить їх до безпечних версій;
• закриє зайві порти;
• перезавантажить сервер у зручний для вас час і перевірить, що все працює.

Вартість: €12.50 за кожні 15 хвилин роботи.

Замовити перевірку сервера

Premium: швидка допомога, коли вона потрібна

На звичайний технічний запит відповідь може надходити до 10 годин. З Premium ми відповідаємо протягом 5–30 хвилин. Якщо після оновлення щось зламається, вам не доведеться чекати пів дня.

Нові вразливості з'являються щотижня. З Premium вам не доведеться розбиратися з ними наодинці.

Підключити Premium