--- title: 'Безпека VPS: чек-лист за жовтень 2026 | Zomro' description: 'Чек-лист безпеки VPS за жовтень 2026: оновлення PHP, Node.js, nginx, Redis, PostgreSQL і Linux. Дізнайтеся, що перевірити та як захистити сервер.' image: 'https://cdn.zomro.com/uploads/blog/a48%40server-panel.net/2026/10/28/gemini_generated_image_7yqh7yqh7yqh7yqh_q50.jpg' --- ![opened image]() * [Zomro](https://zomro.com/ua/) * [Корисні статті](https://zomro.com/ua/blog/articles/) * [Безпека хостингу](https://zomro.com/ua/blog/articles/bezopasnost/) * Чек-лист безпеки VPS: жовтень 2026 року # Чек-лист безпеки VPS: жовтень 2026 року 28-10-2026 ![](https://cdn.zomro.com/uploads/blog/a48%40server-panel.net/2026/10/28/gemini_generated_image_7yqh7yqh7yqh7yqh_q50.jpg) Жовтень 2026 року став одним із найскладніших місяців для безпеки серверів. Критичні вразливості знайшли в PHP, Node.js, nginx, GitLab, Redis і навіть у сертифікатах, яким довіряє весь інтернет. Частину з них хакери вже використовують. Ми зібрали все в один список. Це як техогляд автомобіля: пройдіться пунктами та позначте те, що стосується вашого сервера. Почніть зі зведеної таблиці. Якщо якоїсь програми у вас немає, просто пропустіть відповідний розділ. ## ## ## Зведена таблиця Що | Безпечна версія | Терміновість | Уже атакують? ---|---|---|--- PHP | 8.5.12, 8.4.27, 8.3.36, 8.2.35 | Дуже висока | Так Node.js | 22.23.4, 24.22.1, 26.12.1 | Дуже висока | Так Next.js | 16.4.1+ або 15.5.28+, sharp 0.35.5+ | Висока | Немає даних GitLab | 19.5.1, 19.4.3, 19.3.6 та інші | Дуже висока | Немає даних nginx | 1.30.6 або 1.31.7 | Висока | Немає даних Сертифікати (ca-certificates) | Актуальний системний пакет | Висока | Немає даних Redis | 8.10.2, 8.8.3, 8.6.7, 8.4.7, 8.2.10 | Середня | Немає даних PostgreSQL | 18.6, 17.11, 16.15, 15.19, 14.24 | Середня | Немає даних Ядро Linux | Актуальне системне ядро | Середня | Немає даних Windows Server | Жовтневі оновлення | Висока | Так > «Уже атакують» означає, що американське агентство з кібербезпеки CISA внесло вразливість до переліку тих, які активно використовують хакери. Їх потрібно усувати насамперед. ## ## 1\. PHP **Що сталося.** Дві критичні помилки PHP2Shell дають змогу виконувати код на сервері без пароля. 26 жовтня CISA підтвердила, що їх уже використовують в атаках. Є й третя помилка — CVE-2026-115560. Виправлення для неї поки що немає. **Кого стосується.** Усіх, чиї сайти працюють на PHP: WordPress, Joomla, Бітрікс, Laravel, OpenCart. **Що зробити** php -v Оновіть PHP до версії з таблиці та перезапустіть PHP-FPM. Потім додайте до `php.ini` рядок: session.upload_progress.enabled = 0 Це захищає від третьої помилки, поки не з'явилося виправлення. **Докладна інструкція:[PHP2Shell: як перевірити свій сервер](https://zomro.com/ua/blog/articles/746-php2shell-how-to-check-your-server-and-close-a-dangerous-php-vulnerability)** ## ## ## 2\. Сертифікати (`ca-certificates`) **Що сталося.** Центр сертифікації eMudhra використовував приватні ключі, які можна вгадати за секунду. Один із ключів дорівнював числу 4. З їхньою допомогою можна підробити «захищений» сайт банку чи платіжної системи. Браузери вже оновилися, а сервери — не обов'язково. **Кого стосується.** Майже всіх: сайтів, скриптів і ботів, які звертаються до API, платіжних систем або пошти. **Що зробити** # Ubuntu и Debian sudo apt update && sudo apt install --only-upgrade ca-certificates # AlmaLinux и Rocky Linux sudo dnf upgrade ca-certificates Окремо оновіть Python (пакет `certifi`), Node.js, Go та Java. Вони зберігають власні списки сертифікатів. Docker-образи перезберіть із прапорцем `--pull`. **Докладна інструкція:[Ключ від сертифіката виявився числом 4](https://zomro.com/ua/blog/articles/748-the-certificate-key-turned-out-to-be-the-number-4-what-needs-to-be-updated-on-the-server)** ## ## ## 3\. Node.js і Next.js **Що сталося.** У розпаковувачі стиснених даних Brotli знайшли помилку, через яку можна виконати сторонній код. Node.js виправив її 21 жовтня, а 27 жовтня CISA підтвердила, що її вже експлуатують. У Next.js знайшли дві критичні помилки: через SVG-зображення та через кеш. > **Важливо:** Brotli використовують не лише в Node.js. Його вбудовують у Python і багато інших програм. Тому оновіть також системний пакет `brotli`. Виправлені версії самої бібліотеки: 1.0.10, 1.1.1 і 1.2.1. **Кого стосується.** Усіх, у кого сайти, API чи боти працюють на Node.js, а також усіх сайтів на Next.js. **Що зробити** node -v npm ls next sharp Оновіть Node.js до 22.23.4, 24.22.1 або 26.12.1, Next.js — до 16.4.1+ або 15.5.28+, sharp — до 0.35.5+. Потім перезберіть і перезапустіть застосунок. Node.js 20 та попередні версії виправлень не отримають. **Докладна інструкція:[Node.js і Next.js: дві критичні вразливості за тиждень](https://zomro.com/ua/blog/articles/749-nodejs-and-nextjs-two-critical-vulnerabilities-in-one-week-and-how-to-protect-your-website)** ## ## ## 4\. Redis **Що сталося.** У серпні та вересні Redis усунув понад десяток вразливостей. Серед них — обхід автентифікації за TLS-сертифікатом, виконання коду через спеціально підготовлений файл бази даних та обхід прав доступу в транзакціях. А ще вузли кластера без шифрування могли «впустити» сторонній сервер. Redis — як сейф із даними сайту. Навіть якщо він замкнений, погано, коли його видно з вулиці. **Кого стосується.** Усіх, хто використовує Redis: для кешу сайтів, черг, сесій, Chatwoot та багатьох інших сервісів. **Що зробити** redis-server --version Оновіть Redis до 8.10.2, 8.8.3, 8.6.7, 8.4.7 або 8.2.10. Перевірте, що порти 6379 і 16379 закриті для доступу з інтернету: ss -ltnp | grep -E ':6379|:16379' Якщо поруч із портом зазначено `0.0.0.0`, Redis прослуховує всі адреси. Закрийте порт брандмауером або вкажіть `bind 127.0.0.1` у налаштуваннях. ## ## ## 5\. PostgreSQL **Що сталося.** У серпні PostgreSQL усунув 28 вразливостей. Це рекорд для одного оновлення. Найгучнішу назвали PostGREShell (CVE-2026-6471). Через функцію реплікації користувач, який мав лише права на реплікацію, міг отримати повний контроль над базою та виконати свій код на сервері. Помилці 12 років, вона є в усіх версіях від 9.4 до 18. **Кого стосується.** Усіх, хто використовує PostgreSQL версії, старішої за серпневу. **Що зробити** psql --version Оновіть до 18.6, 17.11, 16.15, 15.19 або 14.24. Для оновлення в межах однієї основної версії не потрібно робити дамп бази. Достатньо оновити пакет і перезапустити службу. > **Увага власникам PostgreSQL 14:** 12 листопада вийде останнє оновлення для цієї версії. Після нього виправлень більше не буде. Час планувати перехід на 16, 17 або 18. ## ## ## 6\. Ядро Linux **Що сталося.** Протягом 2026 року в ядрі Linux знайшли цілу серію помилок із гучними назвами: Copy Fail, Dirty Frag, Fragnesia, PinTheft. Усі вони дозволяють звичайному користувачеві сервера отримати права адміністратора (`root`). Це наче гостя впустили до передпокою, а він знайшов спосіб відчинити всі кімнати й сейф. А в жовтні дослідники випадково опублікували подробиці ще семи вразливостей ядра до виходу виправлень. Дві з них — у модулі `ksmbd`. Це вбудований у ядро файловий сервер для мережевих папок Windows. На більшості серверів його не ввімкнено. **Кого стосується.** Насамперед серверів, на яких працюють кілька користувачів, сайти різних власників або Docker-контейнери. **Що зробити** uname -r Оновіть систему та перезавантажте сервер. Без перезавантаження нове ядро не запрацює. # Ubuntu и Debian sudo apt update && sudo apt upgrade sudo reboot # AlmaLinux и Rocky Linux sudo dnf upgrade kernel sudo reboot Перевірте, чи завантажений `ksmbd`. Якщо команда нічого не вивела, модуль не завантажений: lsmod | grep ksmbd ## ## ## 7\. Windows Server **Що сталося.** У жовтні Microsoft випустила рекордне оновлення: виправлено понад 1 400 вразливостей. Одну з них (CVE-2026-96951) хакери вже використовують. Вона дозволяє обійти попередження Windows щодо файлів, завантажених з інтернету. Це як охоронець, який пропускає посилку без перевірки, бо на неї наклеїли потрібну етикетку. Для серверів особливо небезпечні критичні помилки в службах: * DHCP Server і Message Queuing: оцінка 9,8 із 10; * шлюз віддаленого робочого стола (RD Gateway); * вебсервер IIS. **Кого стосується.** Усіх, у кого VPS або виділений сервер на Windows. **Що зробити.** Установіть жовтневі оновлення через Центр оновлення Windows і перезавантажте сервер. Перевірити останні встановлені оновлення можна в PowerShell: Get-HotFix | Sort-Object InstalledOn -Descending | Select-Object -First 5 Якщо найновіше оновлення старіше за середину жовтня, сервер не захищений. ## ## ## 8\. Що ще варто перевірити **GitLab: максимальна оцінка небезпеки — 10 із 10.** 21 жовтня GitLab виправив CVE-2026-110264, через яку можна виконати код на сервері без входу в систему. Уразливі всі версії починаючи з 7.0, тобто за 12 років. Навіть якщо ви оновлювалися 12 жовтня, цього недостатньо. Виправлені версії: 19.5.1, 19.4.3, 19.3.6, 19.2.9, 19.1.9, 19.0.10, 18.11.13. sudo gitlab-rake gitlab:env:info | grep -i version **nginx: п'ять вразливостей.** 14 жовтня вийшли nginx 1.30.6 та 1.31.7. Три помилки можуть призвести до виконання коду, але лише за певних налаштувань. Одній із них 21 рік. Простіше оновитися, ніж розбиратися з усіма налаштуваннями. nginx -v **Nextcloud із вбудованим офісом Collabora.** Уразливість CVE-2026-110447 атакують із вересня. Якщо у вас встановлений застосунок `richdocumentscode` версії нижче 26.4.303, оновіть або видаліть його. **Докладніше:** Nextcloud і Collabora. **Magento та Adobe Commerce.** 27 жовтня CISA підтвердила атаки через вразливість CVE-2026-48356 у механізмі завантаження файлів. Установіть останнє оновлення безпеки Adobe. **YOOtheme Pro для Joomla та WordPress.** Помилку CVE-2026-102785 з оцінкою 10 із 10 уже використовують для злому сайтів. Уразливі версії від 5.0.0 до 5.0.52. Оновіть тему до останньої версії. **LiteLLM.** 27 жовтня у версії Enterprise виправили помилку з оцінкою 10 із 10: без пароля можна було викрасти головний ключ. Виправлені версії: 1.106.5, 1.105.6, 1.104.8, 1.103.10. Про заражений випуск 1.107.0 читайте у статті _Викрадені AI-ключі_. ## ## ## Чого чекати в листопаді Додайте ці дати до календаря: Коли | Що ---|--- 10 листопада | Щомісячне оновлення безпеки Microsoft для Windows Server 12 листопада | Планове оновлення PostgreSQL. Останнє для PostgreSQL 14 Найближчими тижнями | Запланований випуск PHP із виправленням CVE-2026-115560 31 грудня | PHP 8.2 припинить отримувати виправлення безпеки Коли вийде оновлення PHP, рядок `session.upload_progress.enabled = 0` можна буде прибрати. Але тільки після встановлення нової версії. ## ## ## Підсумковий чек-лист * PHP оновлено, додано рядок `session.upload_progress.enabled = 0`. * Пакет `ca-certificates` оновлено, Docker-образи перезібрано. * Node.js, Next.js і sharp оновлено. * GitLab оновлено до виправленої версії. * nginx оновлено до 1.30.6 або 1.31.7. * Redis оновлено, порти 6379 і 16379 закрито для доступу з інтернету. * PostgreSQL оновлено до серпневої версії. * Ядро Linux оновлено, сервер перезавантажено. * Windows Server отримав жовтневі оновлення. * Перевірено Nextcloud, Magento, YOOtheme та LiteLLM, якщо їх встановлено. * Дати листопадових оновлень додано до календаря. ## ## ## Не хочете розбиратися самостійно? У цьому списку 10 пунктів, і майже щомісяця він такий самий довгий. Якщо на сервері працює ваш бізнес, стежити за всім вручну складно. А пропустити лише одне оновлення іноді достатньо для злому. Для таких випадків у Zomro є два варіанти. ### ### **SOD: пройдемо чек-лист за вас** Наш системний адміністратор: * перевірить, які програми зі списку встановлені на вашому сервері; * оновить їх до безпечних версій; * закриє зайві порти; * перезавантажить сервер у зручний для вас час і перевірить, що все працює. **Вартість: €12.50 за кожні 15 хвилин роботи.** [**Замовити перевірку сервера**](https://zomro.com/ua/paid-support-services/server-management-services) ### Premium: швидка допомога, коли вона потрібна На звичайний технічний запит відповідь може надходити до 10 годин. З Premium ми відповідаємо протягом 5–30 хвилин. Якщо після оновлення щось зламається, вам не доведеться чекати пів дня. Нові вразливості з'являються щотижня. З Premium вам не доведеться розбиратися з ними наодинці. [**Підключити Premium**](https://zomro.com/ua/paid-support-services) Схожі статті [Викрадені AI-ключі: як LiteLLM, Railway та OpenCode підвели розробників](https://zomro.com/ua/blog/articles/747-stolen-ai-keys-how-litellm-railway-and-opencode-let-developers-down) [Node.js і Next.js: дві критичні вразливості за тиждень і як захистити сайт](https://zomro.com/ua/blog/articles/749-nodejs-and-nextjs-two-critical-vulnerabilities-in-one-week-and-how-to-protect-your-website) [Безпека на хмарному VPS: як захистити сервер від атак](https://zomro.com/ua/blog/articles/541-security-on-cloud-vps-how-to-protect-the-server-from-attacks) [Чек-лист безпеки VPS: жовтень 2026 року](https://zomro.com/ua/blog/articles/751-vps-security-checklist-october-2026) [Ключ сертифіката виявився числом 4: що оновити на сервері](https://zomro.com/ua/blog/articles/748-the-certificate-key-turned-out-to-be-the-number-4-what-needs-to-be-updated-on-the-server) [ Сервер з GPU від €174.80/міс ](/dedicated-servers/type=gpu)