Для атаки может не потребоваться пароль
Эксплуатация уязвимостей при определённых условиях возможна без входа в административную панель сайта.
Критические уязвимости PHP · CVE-2026-109618 и CVE-2026-109619
Обновление PHP с проверкой работоспособности сайта
21 октября 2026 года разработчики PHP выпустили исправления двух критических уязвимостей. Эти уязвимости при определённых условиях позволяют злоумышленникам выполнять вредоносный код на сервере без авторизации.
Поможем устранить уязвимости, безопасно обновить PHP и проверить работоспособность сайта, чтобы снизить риск взлома и утечки данных.
Обновление PHP с проверкой сайта
от 690 BYN
- Резервное копирование
- Проверка совместимости
- Тестирование после обновления
- Технический отчёт
Фиксированная стоимость действует для подходящих конфигураций; применимость тарифа подтверждается после проверки технических условий.
Версия PHP
8.2.33
Требует обновления
Исправления CVE-2026-109618 / 109619
Не обнаружены
После работ
Версия PHP
8.2.35
Исправления установлены
Согласованные функции сайта
Протестированы
Иллюстрация порядка работ. Применимый способ обновления и его состав определяются после проверки вашего серверного окружения.
Что произошло
В PHP обнаружены две критические уязвимости
21 октября 2026 года команда разработчиков PHP выпустила экстренные обновления безопасности, устраняющие две критические уязвимости: CVE-2026-109618 и CVE-2026-109619.
При определённых условиях уязвимости допускают удалённое выполнение кода на сервере без авторизации. Это создаёт угрозу для сайтов и веб-приложений, использующих затронутые версии PHP в уязвимых конфигурациях.
9,2
из 10 по шкале CVSS 4.0
Критический уровень опасности
Почему это серьёзная угроза?
Проблема затрагивает серверное окружение
Уязвимости находятся непосредственно в PHP. Поэтому даже актуальная версия WordPress, 1С-Битрикс или другой CMS сама по себе не гарантирует защиту.
Информация об уязвимостях в открытом доступе
Сведения об обнаруженных проблемах опубликованы официально. Откладывание установки исправлений увеличивает период, в течение которого сайт может оставаться уязвимым.
Для каких версий PHP выпущены исправления?
- PHP 8.2.35
- PHP 8.3.36
- PHP 8.4.27
- PHP 8.5.12
Поддержка безопасности PHP 8.2 заканчивается 31 декабря 2026 года. Версия 8.2.35 устраняет указанные уязвимости, однако для дальнейшего получения официальных обновлений потребуется переход на поддерживаемую ветку.
Для более старых версий PHP и отдельных серверных конфигураций необходимо дополнительно проверять наличие исправлений от поставщика операционной системы или возможность безопасного обновления.
Старые версии PHP
PHP 8.1 и более старые версии не получают стандартных обновлений безопасности непосредственно от PHP Project. При этом для PHP 7.4, 8.0 и 8.1 доступны минимальные исходные исправления, а отдельные поставщики операционных систем могут выпускать собственные патчи.
Способ запуска PHP имеет значение
Особенно высокий риск — для Apache/mod_php. Разработчики PHP подтвердили возможность эксплуатации одной из уязвимостей до начала выполнения кода самого приложения. Другие способы запуска PHP, включая PHP-FPM, также требуют установки исправлений.
Важно: сам номер установленной версии PHP не всегда позволяет определить, защищён ли сервер. Некоторые поставщики программного обеспечения устанавливают исправления безопасности без перехода на новую версию PHP.
Источник: официальное уведомление PHP Security Team от 21 октября 2026 года.
Чем рискует бизнес
Взлом сайта может обойтись значительно дороже обновления
Успешная эксплуатация критической серверной уязвимости способна привести не только к техническим проблемам, но и к утечке информации, остановке продаж и репутационным потерям.
Конкретные последствия зависят от конфигурации сервера, размещённых данных и уровня доступа, который удастся получить злоумышленнику.
-
Утечка персональных данных
Имена, телефоны, адреса электронной почты, данные заявок, заказов и другая информация о клиентах могут оказаться в распоряжении посторонних лиц.
-
Доступ к коммерческой информации
Под угрозой могут оказаться базы данных, внутренние документы, настройки интеграций, учётные данные и другие сведения ограниченного доступа.
-
Нарушение работы сайта
Злоумышленники могут изменять содержимое страниц, внедрять вредоносный код, перенаправлять посетителей или нарушать работу отдельных функций и всего сайта.
-
Финансовые потери
Недоступность интернет-магазина, потеря заказов и обращений, восстановление данных и устранение последствий взлома могут привести к непредвиденным расходам.
-
Потеря доверия клиентов
Компрометация сайта или утечка персональных данных способны нанести серьёзный ущерб репутации компании и отношениям с клиентами.
-
Юридические последствия
Несоблюдение установленных требований к защите персональных данных может повлечь ответственность в соответствии с законодательством.
Сайт может продолжать нормально работать даже после компрометации. Отсутствие видимых ошибок не гарантирует, что он защищён.
Ответственность за персональные данные
Защита данных клиентов — обязанность бизнеса
Организации, которые собирают и обрабатывают персональные данные через свои сайты, обязаны обеспечивать защиту этих данных от неправомерного доступа, изменения, копирования и распространения.
В Республике Беларусь эти требования установлены Законом № 99-З «О защите персональных данных».
от 20 до 50
базовых величин
Административный штраф для юридических лиц за несоблюдение мер обеспечения защиты персональных данных
Ответственность предусмотрена частью 4 статьи 23.7 КоАП Республики Беларусь. При наличии иных нарушений и соответствующих обстоятельств могут возникать дополнительные правовые последствия.
Само по себе отсутствие обновления не означает автоматического наступления административной или уголовной ответственности. Ответственность определяется характером нарушения и обстоятельствами конкретного случая.
Почему откладывать обновление рискованно?
О критических уязвимостях PHP уже известно, техническая информация опубликована, а необходимые исправления выпущены.
Если сайт использует затронутое программное обеспечение и обрабатывает персональные данные, важно своевременно оценить риски и принять необходимые меры безопасности.
Игнорирование известных уязвимостей может увеличить риск утечки данных и нарушения требований законодательства. Установка актуальных исправлений PHP — одна из технических мер, позволяющих снизить такие риски.
Нормативные основания
- Закон Республики Беларусь от 07.05.2021 № 99-З «О защите персональных данных», статья 17.
- КоАП Республики Беларусь, статья 23.7.
Как мы устраняем уязвимости
Обновить PHP недостаточно. Важно сохранить работоспособность сайта
Простое переключение версии PHP в панели хостинга может вызвать ошибки в работе отдельных функций, несовместимость модулей и сбои интеграций.
Поэтому мы выполняем обновление последовательно: проверяем окружение, подготавливаем изменения, устанавливаем исправления и тестируем результат.
-
01
Проверяем серверное окружение
Определяем версию PHP, способ его запуска, состояние установленных обновлений и совместимость с компонентами сайта.
-
02
Подготавливаем резервную копию
Перед внесением изменений создаём резервную копию в согласованном объёме и предусматриваем порядок возврата к предыдущему состоянию при возникновении проблем.
-
03
Проверяем совместимость
Оцениваем, как обновление может повлиять на CMS, модули, индивидуальный код и подключённые сервисы. По возможности тестируем изменения в отдельном окружении.
-
04
Устанавливаем исправления
Обновляем PHP до подходящей защищённой версии либо применяем подтверждённое исправление с учётом конфигурации сервера.
-
05
Тестируем работу сайта
Проверяем согласованные функции: формы обратной связи, авторизацию, оформление заказов, личные кабинеты и необходимые интеграции.
-
06
Предоставляем отчёт
Фиксируем выполненные работы, применённые обновления, результаты тестирования и выявленные ограничения.
Результат — устранение согласованных критических уязвимостей PHP, проверка основных функций сайта и подтверждение выполненных работ.
Стоимость
Сколько стоит обновление PHP?
Стоимость зависит от версии PHP, состояния системы управления сайтом, серверного окружения и объёма необходимых доработок.
Мы предлагаем несколько вариантов работ — от технической диагностики до обновления сложных устаревших проектов.
Техническая диагностика
190 BYN
Для сайтов, где необходимо определить наличие применимых исправлений, проверить совместимость и выбрать безопасный способ обновления.
Стоимость диагностики засчитывается при заказе последующих работ
Что входит
- Проверка версии PHP и серверного окружения
- Определение состояния применимых исправлений
- Анализ совместимости CMS и основных компонентов
- Выявление технических ограничений
- Подготовка плана необходимых работ
- Определение стоимости дальнейшего обновления
Рекомендуемый пакет
Стандартное обновление
690 BYN
Для сайтов, на которых можно устранить критические уязвимости без существенной переработки программного кода.
Что входит
- Проверка текущего серверного окружения
- Подготовка резервной копии
- Предварительная проверка совместимости
- Установка применимого обновления PHP
- Тестирование до 10 согласованных сценариев
- Контроль работы сайта после обновления
- Итоговый технический отчёт
Условия: один сайт, одно продуктивное окружение. Установка исправления в рамках совместимой конфигурации без значительных изменений кода. Переход на другую ветку PHP в пакет не входит — он возможен только после оценки совместимости и рассчитывается отдельно. Применимость тарифа подтверждается после проверки технических условий.
Написать по услугеОбновление с адаптацией
1 490 BYN
Для сайтов, которым помимо устранения уязвимостей необходимы ограниченные изменения компонентов или индивидуального программного кода.
Что входит
- Расширенная техническая проверка
- Резервное копирование
- Установка необходимых исправлений PHP
- Обновление согласованных компонентов
- Ограниченная адаптация несовместимого кода
- Проверка основных функций и интеграций
- Итоговый технический отчёт
Условия: перечень доработок, компонентов и тестируемых сценариев согласовывается до начала работ. Если необходимый объём изменений превышает возможности пакета, подготавливается отдельная смета.
Написать по услуге
Индивидуальная стоимость
Сложные и устаревшие сайты
Для проектов на PHP 5/7, устаревших CMS, самописных системах и сайтах со сложными интеграциями.
Стоимость определяется после технической диагностики.
Запросить расчёт стоимостиЧто входит в планирование работ
- Анализ архитектуры и зависимостей
- Определение доступных способов устранения уязвимостей
- Оценка совместимости существующего кода
- Подготовка плана обновления или миграции
- Составление индивидуальной сметы
Сравнение тарифов
| Критерий | Диагностика 190 BYN | Стандартное 690 BYN | С адаптацией 1 490 BYN |
|---|---|---|---|
| Назначение услуги | Определить необходимые исправления и способ обновления | Устранить уязвимости без существенных изменений кода | Устранить уязвимости с согласованной адаптацией |
| Результат работ | План работ и оценка стоимости | Установленные исправления, проверка функций | Исправления, адаптация компонентов и проверка функций |
| Установка исправлений PHP | Не входит | Входит | Входит |
| Адаптация программного кода | Не входит | Не входит | Ограниченная, по согласованию |
| Проверка работоспособности | Предварительная оценка совместимости | До 10 согласованных сценариев | Основные функции и интеграции |
| Итоговый документ | План работ и расчёт стоимости | Технический отчёт | Технический отчёт |
Диагностика — самостоятельная услуга. Она позволяет определить, какие исправления требуются и как безопасно их установить, но не включает само обновление. Стоимость диагностики засчитывается при заказе последующих работ.
Дополнительные условия
Фиксированные цены действуют для проектов, соответствующих условиям выбранного пакета.
Стоимость лицензий, платных модулей, дополнительных серверных ресурсов, переноса сайта и восстановления после уже произошедшего взлома рассчитывается отдельно.
Объём, сроки и условия выполнения работ согласовываются до начала работ.
Кому это касается
Под угрозой могут находиться сайты на популярных CMS
Критические уязвимости обнаружены на уровне PHP, поэтому потенциальная угроза касается не только отдельных систем управления контентом.
-
Корпоративные сайты
Сайты компаний с формами обратной связи, заявками, личными кабинетами и интеграциями с внутренними системами.
-
Интернет-магазины
Проекты, обрабатывающие сведения о покупателях, заказах, доставке и другие клиентские данные.
-
Медицинские организации
Сайты клиник и медицинских центров с онлайн-записью, обращениями пациентов и формами передачи персональных данных.
-
Государственные учреждения
Информационные сайты и веб-ресурсы организаций, для которых важны стабильность работы, контроль изменений и выполнение требований безопасности.
Партнёрам
Веб-студии и IT-компании
Поможем устранить уязвимости на сайтах ваших клиентов. Возможно сотрудничество в партнёрском формате, включая обновление нескольких проектов.
Обновление PHP для WordPress, 1С-Битрикс, MODX и других CMS
Обновляем серверное окружение с учётом версии CMS, установленных модулей, индивидуальных доработок и интеграций. Способ обновления определяем после проверки совместимости.
- WordPress
- 1С-Битрикс
- MODX
- Drupal
- Joomla
- Индивидуальные PHP-решения
Кто выполняет работы
SiteShield — техническая команда Softvejl
Обновление и проверку сайтов выполняют специалисты Softvejl, работающие с веб-приложениями, системами управления контентом и серверными окружениями.
Наша задача — не просто установить новую версию PHP, а устранить конкретную угрозу с учётом особенностей вашего сайта и сохранить работоспособность его основных функций.
Работаем с клиентами из Минска и других городов Беларуси. Обновление PHP и техническую проверку сайтов выполняем удалённо. Встречи и подписание договора согласовываем индивидуально.
-
Прозрачная стоимость
Согласовываем состав и стоимость работ до начала обновления. Если необходима дополнительная адаптация, заранее определяем её объём.
-
Контролируемое обновление
Проверяем совместимость, подготавливаем резервную копию и тестируем согласованные функции сайта после внесения изменений.
-
Подтверждённый результат
Предоставляем технический отчёт с информацией об установленных исправлениях и результатах выполненных проверок.
-
Конфиденциальность
Доступы к серверу и административной панели передаются отдельно по согласованному защищённому каналу. Мы не просим присылать пароли письмом.
Вопросы и ответы
Часто задаваемые вопросы
Мой сайт работает без ошибок. Нужно ли обновлять PHP?
Если сервер использует затронутую версию PHP без необходимых исправлений, обновление требуется независимо от того, насколько стабильно работает сайт. Наличие уязвимости не обязательно проявляется видимыми ошибками.
Как узнать, какая версия PHP установлена?
Версию PHP можно проверить через панель хостинга или серверное окружение. Однако важно учитывать не только номер версии, но и установленные исправления безопасности.
Если я обновил WordPress или Битрикс, сайт уже защищён?
Не обязательно. Рассматриваемые уязвимости относятся непосредственно к PHP. Обновление CMS не гарантирует, что серверное окружение получило необходимые исправления.
Может ли обновление PHP нарушить работу сайта?
Да. Особенно если используются устаревшие модули, темы, индивидуальные доработки или внешние интеграции. Поэтому перед обновлением мы проверяем совместимость и после внесения изменений тестируем основные функции.
Что делать, если сайт перестал работать после обновления PHP?
Причиной могут быть несовместимые модули, темы или устаревший программный код. Для восстановления работоспособности необходимо определить источник ошибок и оценить объём необходимых изменений. Такие работы выполняются после диагностики и согласования стоимости.
Почему после обновления PHP появилась ошибка 500 или белый экран?
Ошибка 500 или пустая страница могут возникать из-за несовместимости кода с новой версией PHP. Для выяснения причины проверяют журналы ошибок и компоненты сайта. Способ исправления и стоимость работ зависят от результатов диагностики.
Что делать, если сайт работает на PHP 5 или PHP 7?
Для устаревших версий требуется индивидуальная проверка доступных исправлений. В некоторых случаях может потребоваться адаптация программного кода или переход на поддерживаемую версию PHP.
Если хостинг уже обновил PHP, нужно ли заказывать услугу?
Если все применимые исправления уже установлены и работают корректно, дополнительное обновление именно для устранения этих уязвимостей может не потребоваться. При отсутствии достоверных сведений можно заказать техническую диагностику.
Сколько времени занимает обновление?
Зависит от серверного окружения, состояния CMS и объёма необходимых изменений. Стандартное обновление обычно требует меньше времени, чем работы со старым программным кодом и сложными интеграциями. Сроки согласовываются после определения объёма работ.
Будет ли сайт недоступен во время обновления?
Это зависит от архитектуры проекта и способа установки исправлений. Мы согласовываем порядок проведения работ и по возможности минимизируем перерывы в работе сайта.
Гарантируете ли вы полную защиту от взломов?
Установка исправлений устраняет конкретные уязвимости, но не исключает других потенциальных угроз. Мы подтверждаем выполнение согласованных работ и результаты предусмотренных проверок, не обещая абсолютной безопасности.
Если сайт уже взломан, вы сможете помочь?
Восстановление после взлома требует отдельной диагностики, анализа последствий и определения объёма необходимых работ. Такие услуги не входят в стандартный тариф обновления и оцениваются индивидуально.
Нужно ли предоставлять доступы при первом обращении?
Нет. Для первичного обращения достаточно адреса сайта и контактной информации. Если для диагностики или обновления потребуются доступы, порядок их безопасной передачи будет согласован отдельно.
Связаться с нами
Не откладывайте устранение критических уязвимостей PHP
Напишите нам, указав адрес сайта и краткое описание задачи. Мы обсудим технические условия, объём работ и порядок сотрудничества.
Стоимость, сроки и состав работ согласуем индивидуально. После обсуждения деталей оформим сотрудничество договором.
Электронная почта
[контактный email]
Адрес ещё не опубликован. Кнопка «Написать нам» и копирование адреса появятся здесь вместе с ним.
Укажите адрес сайта и кратко опишите задачу.
Не отправляйте пароли и доступы к серверу обычной электронной почтой — порядок их безопасной передачи согласуем отдельно.