Уязвимости PHP в октябре 2026: кто отвечает за безопасность сайта
PHP - язык, на котором работают WordPress, Joomla, 1С-Битрикс, OpenCart, MODX и большинство самописных сайтов. Если в самом PHP находят дыру, под угрозой оказываются все эти сайты сразу, независимо от CMS, дизайна и того, кто их делал.
Именно это произошло в октябре 2026 года. Хорошая новость: на виртуальном хостинге Beget уязвимость закрыли за одну ночь без участия владельцев сайтов. Остальным стоит понимать, где заканчивается ответственность хостинга и начинается их собственная.
Что случилось
Команда PHP заранее предупредила о выпуске экстренного обновления и до него держала технические детали в секрете, чтобы злоумышленники не успели подготовить атаки. Исправления вышли 21 октября 2026 года в 17:00 по Москве.
| Параметр | Данные |
|---|---|
| Уязвимости | CVE-2026-109618 и CVE-2026-109619 |
| Опасность | 9.2 из 10 по шкале CVSS v4.0 у каждой - критический уровень |
| Чем грозит | Удаленное выполнение кода: злоумышленник может запустить на сервере свои команды - разместить вирус, спам-страницы, редирект, украсть базу данных |
| Где ошибка | В ядре PHP: при нехватке памяти и фатальных ошибках PHP оставляет память в некорректном состоянии, и следующие запросы могут этим воспользоваться |
| Какие версии затронуты | По данным исследователей - ветки PHP с 5 по 8 |
| Исправленные версии | 8.5.12, 8.4.27, 8.3.36, 8.2.35 |
| Старые ветки | Для 7.4, 8.0 и 8.1 команда PHP выпустила минимальные исправления в исходном коде, официальных релизов нет. Для версий ниже 7.4 исправлений нет |
Риск не теоретический. Описание уязвимостей утекло в сеть еще до выхода исправлений, исследователи сообщили, что воспроизвели атаку в лаборатории, а компания Bitsight оценила вероятность их использования в ближайшие 90 дней в 9.91 и 9.84 балла из 10. Данные актуальны на 23 октября 2026 года.
Виртуальный хостинг: Beget уже все сделал
Большинство сайтов малого бизнеса размещены на виртуальном хостинге: сервером, операционной системой и PHP управляет провайдер. Beget отработал ситуацию в два этапа.
- До выхода исправлений. Ограничил механизм upload_progress в PHP и предупредил о временном ограничении POST-запросов типа multipart/form-data, через которые на сайт загружаются файлы. Это снизило риск атаки, пока патча еще не было.
- В ночь на 22 октября. Завершил работы по устранению обеих уязвимостей: все версии PHP, доступные в панели управления, получили обновления. По сообщению Beget, дополнительных действий от владельцев сайтов не требуется.
Если 21-22 октября на сайте не загружались файлы или не отправлялись отдельные формы - это следствие временных защитных ограничений хостинга, а не поломка сайта. Если проблема осталась после 22 октября, напишите нам.
VPS и выделенные серверы: обновление на владельце
На облачном сервере (VPS/VDS) хостинг предоставляет только мощности. PHP, панель управления и операционную систему администрирует владелец сервера, и Beget прямо указывает: владельцы проектов на VPS сами отвечают за обновление PHP.
VPS на поддержке Арт-Веб
Серверы клиентов, которые мы сопровождаем, уже обновлены. Писать нам и что-то проверять не нужно.
VPS, который вы администрируете сами
Уязвимость не закрыта, пока на сервере не установлен PHP одной из исправленных версий: 8.5.12, 8.4.27, 8.3.36 или 8.2.35. Если сайт работает на PHP ниже 8.2, сначала нужно проверить его совместимость с новой версией, иначе после обновления он может перестать открываться.
Один переход на PHP 8.2 или новее уязвимость не закрывает - нужна версия с исправлением безопасности. Если на вашем VPS этого еще не сделано, а администратора нет, напишите нам: обновим сервер и проверим совместимость сайта.
Кто за что отвечает
У сайта четыре слоя, и за каждый отвечает своя сторона. Путаница начинается, когда владелец считает, что «все делает хостинг» или «все покрывает гарантия».
| Слой | Пример проблемы | Кто отвечает |
|---|---|---|
| Сервер и PHP на виртуальном хостинге | Уязвимость в PHP, как в октябре 2026 | Хостинг-провайдер |
| Сервер и PHP на VPS | Устаревший PHP, необновленная ОС | Владелец сервера или подрядчик по поддержке |
| CMS, плагины, модули | Дыра в плагине WordPress или старой Joomla | Владелец сайта или подрядчик по поддержке |
| Код, написанный при разработке | Ошибка в форме, которую допустил разработчик | Разработчик, в рамках гарантии |
| Доступы | Пароль к админке передан третьим лицам или подобран | Владелец сайта |
Уязвимость октября 2026 года находится во втором снизу слое - в PHP. Поэтому на виртуальном хостинге ее закрыл провайдер, а на VPS ее закрывает тот, кто сервер администрирует.
Почему это не гарантийный случай
На сайты, которые мы разрабатываем, действует гарантия работоспособности. Ее условия дословно:
Что покрывает гарантия
Гарантия работоспособности - год. При размещении сайта-визитки на нашем хостинге и соблюдении условий (отсутствие доступа к коду со стороны клиента или третьих лиц, а также неизменность функционала, включая запрет на установку/обновление плагинов, модулей и CMS) - предоставляется пожизненная гарантия. Гарантия распространяется на ошибки, допущенные при разработке сайта.
Что оплачивается по тарифам поддержки
Доработки, вызванные внешними изменениями - выходом новых версий PHP, MySQL и браузеров, обнаружением новых уязвимостей, изменением законодательства, требований поисковых систем и сторонних сервисов, - выполняются по тарифам на поддержку.
Уязвимость в PHP - ровно тот случай, который описан во втором блоке: ошибку допустили не мы при разработке, а разработчики языка, на котором работает почти весь веб. Поэтому если сайт заразили или он сломался из-за этой уязвимости, лечение и восстановление выполняются платно. Три типичные ситуации:
Как это выглядит на практике
Такое разделение - не способ уйти от ответственности. Ни одна студия не может гарантировать, что через год-два в PHP, MySQL или CMS не найдут новую дыру: такие уязвимости находят регулярно, и закрывать их - постоянная работа, а не разовый ремонт.
Признаки, что сайт уже заражен - тревожные сигналы
Атаки через эту уязвимость возможны с момента утечки описания, то есть еще до выхода исправлений. Если сайт находится на VPS, который обновили не сразу, или вы просто сомневаетесь, проверьте его по признакам ниже.
Что делать, если сайт заражен или сломан
Главная ошибка - удалить подозрительные файлы и считать проблему решенной. Если не найти, как злоумышленник попал на сайт, заражение возвращается через несколько дней.
- Ничего не удаляйте и не восстанавливайте сайт из резервной копии сразу - сначала нужно понять, когда началось заражение, иначе можно вернуть уже зараженную версию.
- Смените пароли к админке сайта, панели хостинга, FTP и базе данных.
- Передайте сайт специалисту: он найдет вредоносный код, точку входа, вычистит сайт и закроет уязвимость - обновит CMS, плагины или PHP.
- После лечения отправьте сайт на перепроверку в Яндекс Вебмастере, чтобы снять предупреждение в поиске.
Лечение и восстановление сайта
Лечение сайта
Найдем и удалим вредоносный код, закроем точку входа, восстановим работу сайта и формы, обновим CMS и плагины до версий без известных уязвимостей.
Срок - неделя.
от 10 000 ₽
Обновление на 1С-Битрикс
Если сайт не совместим с PHP 8.2 и новее, адаптируем код и обновим 1С-Битрикс.
от 60 000 ₽
Дешевле всего обходится не лечение, а регулярное обслуживание: когда за обновлениями сервера, PHP и CMS следит подрядчик, о таких уязвимостях, как в октябре 2026 года, владелец сайта узнает уже после того, как их закрыли.
Поддержка сайта
Следим за хостингом, версиями PHP, CMS и плагинов, обновляем их до того, как дыры начнут использовать, делаем резервные копии и вносим правки на сайт. Клиентов на поддержке уязвимость октября 2026 года не коснулась: их серверы мы обновили сами.
Нет. Beget завершил работы в ночь на 22 октября 2026 года: все версии PHP, доступные в панели управления, получили обновления, дополнительных действий от владельцев сайтов не требуется.
