Критические уязвимости PHP 21 октября 2026 года: почему владельцам сайтов на 1С-Битрикс нужно срочно обновиться

22 октября 2026

15 просмотров

Технические советы от экспертов MediaMint

Критические уязвимости PHP 21 октября 2026 года: почему владельцам сайтов на 1С-Битрикс нужно срочно обновиться

22 октября 2026

21 октября 2026 года у владельцев сайтов появился очень веский повод срочно написать своему разработчику. И на этот раз не потому, что «кнопочка съехала на три пикселя», а потому, что специалисты обнаружили две критические уязвимости в PHP, которые потенциально позволяют злоумышленникам удалённо выполнять код на сервере.

Уровень опасности — 9,2 из 10. Причём проблема касается не какой-нибудь малоизвестной технологии, установленной на трёх сайтах в мире, а PHP — языка программирования, на котором работают миллионы веб-проектов, включая сайты на 1С-Битрикс, WordPress, OpenCart и других CMS.

Здесь есть особенно неприятный нюанс: для потенциальной атаки злоумышленнику не обязательно иметь пароль администратора. В определённых условиях достаточно специально сформированного запроса к уязвимому серверу.

Так что сегодня мы официально разрешаем отложить обсуждение цвета кнопок и заняться вопросом поважнее.

Хорошая новость: исправления уже выпущены. Плохая: они не установятся сами на каждый сервер, а некоторые сайты после обновления PHP могут потребовать дополнительной настройки.

Разбираемся, что произошло, кому действительно угрожает взлом, как проверить PHP на сайте и что срочно сделать, чтобы не превратить обычный рабочий четверг в незапланированный курс по восстановлению бизнеса после кибератаки.

Главное об уязвимостях PHP: что нужно знать прямо сейчас

21 октября 2026 года разработчики PHP выпустили обновления безопасности, устраняющие две критические уязвимости — CVE-2026-109618 и CVE-2026-109619. Обе потенциально позволяют выполнить вредоносный код на сервере без предварительной авторизации. В сообщениях специалистов по кибербезопасности эти проблемы также получили общее название PHP2Shell.

Уязвимости затрагивают серверные установки PHP, которые обрабатывают веб-запросы. Под угрозой могут оказаться сайты на 1С-Битрикс, WordPress и других CMS, если они используют PHP без необходимых исправлений.

Разработчики выпустили следующие безопасные версии:

Ветка PHP	Версия с исправлениями
Ветка PHP PHP 8.5	Версия с исправлениями 8.5.12
Ветка PHP PHP 8.4	Версия с исправлениями 8.4.27
Ветка PHP PHP 8.3	Версия с исправлениями 8.3.36
Ветка PHP PHP 8.2	Версия с исправлениями 8.2.35

Если у вас установлена более ранняя сборка одной из этих веток и необходимые исправления не были применены поставщиком программного обеспечения, обновление нужно выполнить как можно скорее.

Для PHP 8.1 и более старых версий ситуация сложнее: официальная поддержка этих веток со стороны проекта PHP завершена. Отдельные поставщики Linux и расширенной поддержки могут выпускать собственные исправления, но оставаться на устаревшей версии без подтверждённого патча небезопасно.

Проверить информацию можно в официальном сообщении PHP от 21 октября 2026 года.

Что произошло 21 октября и почему все так всполошились

Ещё 20 октября команда PHP предупредила о предстоящем срочном выпуске исправлений. Причина — две уязвимости с критическим уровнем опасности, подробности которых должны были раскрыть одновременно с выходом обновлений.

Предупреждение было настолько серьёзным, что на него отреагировали не только специалисты по информационной безопасности, но и хостинг-провайдеры.

Например, Beget выпустил отдельное обращение, где сообщил о временных мерах защиты: ограничении определённых механизмов PHP и потенциально опасных запросов. Причём провайдер заранее предупредил клиентов, что из-за этих ограничений могут возникать проблемы с загрузкой файлов и работой отдельных форм.

Это важный момент: даже если злоумышленники не атаковали конкретно ваш сайт, экстренные изменения на стороне хостинга уже могут повлиять на его работу.

21 октября разработчики PHP опубликовали исправленные версии и технические сведения об уязвимостях.

CVE-2026-109618: проблема с обработкой памяти

Первая уязвимость связана с некорректной обработкой состояния памяти при определённых ошибках её выделения.

Без углубления в устройство PHP: в некоторых ситуациях система может неправильно обработать внутренние данные запроса, что создаёт возможность выполнения постороннего кода.

CVE-2026-109619: ошибка во внутреннем состоянии PHP

Вторая уязвимость связана с ситуацией, когда внутренние данные одного запроса могут некорректно сохраняться и использоваться при последующих операциях. В результате злоумышленник потенциально получает возможность воздействовать на выполнение кода сервером.

Особенно серьёзным разработчики PHP считают риск для конфигураций Apache с mod_php: для них подтверждён сценарий атаки без авторизации ещё до выполнения кода самого приложения.

Но это не означает, что пользователям PHP-FPM или других способов запуска PHP можно расслабиться. Обновления рекомендованы для всех установок PHP, обслуживающих веб-запросы.

Официальные технические подробности: PHP Security Advisory.

Причём здесь 1С-Битрикс и почему обновление CMS не решает проблему

Вот тут важно правильно расставить акценты.

Уязвимости обнаружены не в исходном коде 1С-Битрикс, а в PHP — серверной технологии, на которой работает CMS.

Представьте, что ваш сайт — это хорошо оборудованный магазин, а PHP — фундамент здания. Вы можете установить современную сигнализацию, повесить надёжные замки и даже нанять охранника, но если проблема обнаружилась в самом фундаменте, перестановка мебели её не устранит.

С 1С-Битрикс ситуация похожая. Даже актуальная версия CMS не исправит уязвимость в серверном PHP, если там продолжает работать небезопасная сборка.

Поэтому сейчас необходимо проверить два уровня:

Первый — серверное окружение. Какая версия PHP используется, установлены ли исправления, кто отвечает за администрирование сервера и требуется ли перезапуск PHP-процессов.

Второй — сам сайт. Совместим ли текущий 1С-Битрикс с безопасной версией PHP, актуальны ли сторонние модули, работают ли кастомные доработки, интеграции и основные пользовательские сценарии.

По официальным требованиям 1С-Битрикс, с февраля 2026 года минимальная версия PHP для актуальных продуктов — 8.2. Разработчик также рекомендует использовать современные стабильные версии серверного ПО.

И если вы до сих пор работаете на PHP 7.4 или 8.0, потому что «так исторически сложилось и никто не трогал», сегодняшний день — прекрасный момент пересмотреть эту семейную традицию.

Кстати, о том, почему обновление PHP бывает непростым и с какими ошибками сталкиваются сайты на Битриксе, мы уже рассказывали в статье «Переход на PHP 8.x для сайтов на CMS Битрикс».

Чем опасны критические уязвимости PHP для бизнеса

Термин Remote Code Execution, или RCE, означает возможность удалённого выполнения кода. Это значительно серьёзнее, чем ошибка отображения страницы или некорректная работа отдельного модуля.

Если злоумышленнику удастся использовать уязвимость, последствия будут зависеть от того, какие права есть у PHP-процесса и насколько хорошо защищён сервер.

Возможные сценарии неприятны:

Заражение сайта. В файлах появляются вредоносные скрипты, скрытые механизмы доступа и посторонний код.
Кража данных. Под угрозой могут оказаться файлы конфигурации, служебные учётные данные, сведения о клиентах и информация, доступная приложению.
Подмена страниц и редиректы. Посетители могут попасть на мошеннические сайты вместо вашего.
Нарушение работы магазина. Корзина, оформление заказов, личный кабинет, интеграции или весь сайт могут перестать работать.
Проблемы с SEO и рекламой. Если сайт заражён, недоступен или перенаправляет пользователей, это может привести к предупреждениям браузеров, ограничениям рекламы и потере поискового трафика.

Для интернет-магазина всё это означает потенциальную потерю заказов. Для сайта услуг — потерю заявок. Для медицинского центра или другой компании, обрабатывающей персональные данные, последствия могут быть ещё серьёзнее.

Причём внешне сайт не обязательно сразу начнёт вести себя подозрительно. Иногда заражённый проект продолжает открываться как ни в чём не бывало.

Это как обнаружить, что кто-то сделал дубликат ключей от вашего офиса. Вроде ничего не пропало, но радоваться как-то не хочется.

Как проверить, уязвим ли ваш сайт

Для начала нужно узнать версию PHP, которая действительно обслуживает сайт.

Именно PHP на сервере, а не версию 1С-Битрикс в административной панели.

Если сайт находится на обычном виртуальном хостинге

Во многих панелях управления версия PHP отображается в настройках сайта или домена.

Например, в Beget нужно открыть панель управления, перейти в раздел «Сайты» → «Управление сайтами» и посмотреть настройки нужного домена.

Но здесь есть тонкость: надпись «PHP 8.4» ещё не подтверждает, что необходимые исправления установлены. Нужно проверить точную сборку или получить подтверждение от хостинг-провайдера.

Особенно если хостер устанавливает исправления самостоятельно, сохраняя привычное обозначение версии.

Если сайт размещён на VPS или выделенном сервере

Проверять окружение должен системный администратор.

Важно определить не только номер версии PHP, но и то, какой обработчик используется, из какого репозитория установлены пакеты, включены ли необходимые исправления и были ли перезапущены процессы после обновления.

Отдельная ловушка: PHP для командной строки и PHP, который обслуживает сайт, могут отличаться. Поэтому проверка только команды php -v не всегда показывает реальную картину.

Для проектов на BitrixVM актуальную версию PHP и доступные варианты обновления можно проверить через инструменты управления окружением. В официальной документации BitrixVM описана процедура обновления PHP.

А если вообще неизвестно, где смотреть?

Тогда лучше обратиться к специалисту или в поддержку хостинга. Особенно если сайт приносит заявки, имеет нестандартные доработки или несколько лет не обновлялся.

Потому что выяснять совместимость боевого интернет-магазина с новой версией PHP методом «нажмём и посмотрим, что отвалится» — развлечение сомнительное.

Что нужно срочно сделать владельцам сайтов на 1С-Битрикс

Главная задача — установить исправления безопасности PHP и убедиться, что сайт после обновления работает корректно.

Здесь важна последовательность.

1. Уточнить версию PHP и наличие патча

Начинаем с диагностики. Выясняем используемую версию и проверяем, получила ли она исправления для CVE-2026-109618 и CVE-2026-109619.

Если хостинг управляемый, лучше сразу запросить у провайдера подтверждение установки необходимых обновлений.

2. Создать резервную копию

Перед изменениями серверного окружения важно сохранить файлы сайта и базу данных и убедиться, что резервную копию можно восстановить.

Обновление PHP может затронуть совместимость отдельных модулей, библиотек и доработок. Поэтому бэкап здесь нужен не для красоты, а как полноценный план восстановления на случай сбоя.

3. Проверить совместимость сайта с безопасной версией PHP

Для актуального проекта на 1С-Битрикс оптимально выбирать поддерживаемую версию PHP с установленными исправлениями.

Если для перехода потребуется сменить ветку PHP, нужно проверить совместимость CMS, сторонних модулей и доработок. Особенно внимательно — интернет-магазины, интеграции с 1С и CRM, кастомные компоненты.

По возможности обновление сначала проверяют на тестовом окружении. При этом из-за критичности уязвимостей не стоит откладывать установку патчей на неопределённый срок ради длительного тестирования.

4. Установить исправление и перезапустить необходимые службы

Для стандартных сборок PHP это обновление до исправленного релиза соответствующей ветки.

Если используется PHP-FPM, после установки исправлений нужно убедиться, что его рабочие процессы перезапущены и действительно используют новую сборку. Для других способов запуска PHP проверяется соответствующая служба или контейнер.

Для Linux-дистрибутивов с поддержкой обратного переноса исправлений номер версии может отличаться от опубликованного на PHP.net. В таком случае важно проверить сведения о пакете безопасности от поставщика.

5. Проверить работу сайта после обновления

И речь не только о главной странице. У интернет-магазина нужно проверить карточки товаров, корзину, оформление заказа, оплату, фильтры, личный кабинет и обмены с учётными системами.

У сайта услуг — отправку форм, запись, обратный звонок, интеграции с CRM и остальные целевые действия.

Отдельное внимание стоит уделить загрузке файлов: из-за экстренных ограничений хостинга или изменения настроек PHP соответствующий функционал может работать иначе.

6. Проверить сайт на признаки компрометации

Если сайт работал на уязвимой сборке, особенно при наличии подозрительной активности, одного обновления может быть недостаточно.

Нужно проверить журналы запросов и ошибок, новые или изменённые файлы, пользователей с повышенными правами и другие признаки возможного взлома.

Обновление закрывает известную уязвимость, но не удаляет вредоносный код, если его успели разместить до обновления. Это принципиальный момент: поменять замок необходимо, но неплохо бы сначала убедиться, что незваный гость не остался внутри.

В MediaMint мы занимаемся технической поддержкой сайтов на 1С-Битрикс, обновлениями, диагностикой ошибок и проверкой безопасности проектов. Если не уверены, какая сборка PHP установлена и как её безопасно обновить, можем подключиться к задаче.

Что делать, если обновить PHP прямо сейчас невозможно

Такая ситуация вполне реальна. Например, сайт использует старые сторонние модули, которые несовместимы с современным PHP, либо сервером управляет сторонний подрядчик, до которого пока не удалось достучаться.

Разработчики PHP опубликовали временные способы снижения риска. В частности, они рекомендуют ограничивать обработку определённых запросов и отключать отдельные механизмы PHP, связанные с выявленными сценариями атаки.

Для специалистов это могут быть следующие меры:

отключение session.upload_progress.enabled на уровне серверной конфигурации;
ограничение размера POST-запросов с учётом реальных потребностей сайта;
для PHP 8.5 — отключение fatal_error_backtraces, если это необходимо в рамках временной защиты;
дополнительные ограничения и проверки на уровне сервера.

Для одного из сценариев разработчики PHP также описали изменение memory_limit, но этот параметр нельзя бездумно менять на рабочем сервере: необходимо учитывать возможное потребление памяти и ограничения инфраструктуры.

Важно: такие действия должен выполнять специалист, понимающий конфигурацию сервера и последствия изменений.

Например, ограничение POST-запросов может нарушить загрузку файлов, импорт данных или работу некоторых форм. А изменение серверных параметров без полноценной проверки способно создать проблемы, которых до этого не было.

И главное: сами разработчики PHP подчёркивают, что полноценной замены обновлению нет. Временные ограничения уменьшают риск отдельных сценариев атаки, но не гарантируют защиту от всех способов эксплуатации уязвимостей.

Поэтому если сайт невозможно быстро перевести на безопасную сборку, задача не отменяется, а требует отдельного плана: временная защита, устранение проблем совместимости и установка патча при первой возможности.

Нужно ли обновлять ещё и сам 1С-Битрикс?

Короткий ответ: PHP обновить обязательно, а состояние CMS и модулей тоже нужно проверить.

Текущие уязвимости не исправляются обновлением ядра 1С-Битрикс. Но если ваша CMS давно не обновлялась, именно её устаревшие компоненты могут мешать переходу на актуальную безопасную версию PHP.

Кроме того, у сайта может быть несколько независимых проблем с безопасностью одновременно.

Например, в апреле 2026 года разработчики INTEC сообщили об уязвимости в готовых решениях линейки Universe. Тогда владельцам сайтов рекомендовали восстановление безопасной резервной копии и установку обновлений Intec.Core.

Мы подробно разбирали эту ситуацию в статье «Уязвимость INTEC Universe: что делать владельцам сайтов на 1С-Битрикс».

Нынешняя история другая: проблема затрагивает PHP на уровне серверного окружения. Но вывод одинаковый — безопасность сайта нельзя обеспечить одним обновлением раз в несколько лет.

Именно поэтому регулярная техническая поддержка сайта нужна не только для исправления ошибок и добавления новых функций, но и для своевременного обслуживания CMS, модулей и серверного окружения.

Что особенно важно проверить интернет-магазинам

Для интернет-магазина обновление PHP — задача с повышенной ответственностью. Здесь недостаточно убедиться, что сайт открылся после изменений.

Даже небольшая ошибка совместимости может нарушить процесс покупки: карточка товара отображается, а кнопка добавления в корзину уже не работает. Или покупатель оформляет заказ, но оплата не проходит. Или обмен с 1С внезапно перестаёт обновлять остатки.

Владелец может узнать об этом далеко не сразу — особенно если сам редко проходит весь путь покупателя. Поэтому после установки исправлений нужно проверить не только техническую доступность, но и основные бизнес-сценарии.

Если обновление требует изменения отдельных компонентов, интеграций или нестандартного функционала, это уже задача для специалистов по доработке сайтов на 1С-Битрикс.

Здесь важно совместить две цели: как можно быстрее закрыть опасную уязвимость и не оставить бизнес без работающего интернет-магазина.

Как MediaMint может помочь с экстренным обновлением PHP

Если ваш сайт работает на 1С-Битрикс, а вы не знаете, какая версия PHP установлена на сервере, сейчас самое время это выяснить.

MediaMint работает с проектами на 1С-Битрикс, включая сайты с готовыми решениями, индивидуальными доработками и интеграциями. Мы можем подключиться к проверке и обновлению проекта, чтобы изменения серверного окружения не превратились в отдельную чрезвычайную ситуацию.

В зависимости от состояния сайта и доступов мы поможем:

определить текущую версию PHP и необходимость установки исправлений;
оценить совместимость 1С-Битрикс, модулей и доработок с безопасной версией;
подготовить резервную копию и план обновления;
согласовать или выполнить установку патча в зависимости от того, кто администрирует сервер;
проверить работу сайта после изменений;
устранить ошибки совместимости;
проверить проект на признаки вредоносной активности;
предложить дальнейшую схему обновлений и технической поддержки.

Если проблема срочная, начинать разумнее с проверки безопасности и оценки необходимого объёма работ, а не с масштабной переделки сайта.

Нужно срочно проверить и обновить PHP на сайте? Обратитесь в MediaMint. Разберёмся с серверным окружением, проверим совместимость и поможем установить необходимые исправления.

Частые вопросы об уязвимостях PHP от 21 октября 2026 года

Какие версии PHP нужно срочно обновить?

Разработчики выпустили исправления в PHP 8.5.12, 8.4.27, 8.3.36 и 8.2.35. Если используется более ранняя сборка соответствующей ветки и патч не установлен отдельно поставщиком ПО, необходимо обновление.

Мой сайт работает на 1С-Битрикс. Он уязвим?

Потенциально да, если сервер использует затронутую версию PHP без исправления безопасности. Сам факт использования 1С-Битрикс не означает, что сайт взломан, но и не защищает от ошибок в PHP.

Если обновить 1С-Битрикс до последней версии, проблема исчезнет?

Нет. Текущие уязвимости находятся в PHP, а не в ядре CMS. Поэтому необходимо проверить именно серверную версию PHP и наличие исправлений. Обновление Битрикса может потребоваться дополнительно для совместимости и общей безопасности.

У меня PHP 8.2. Это безопасно?

Не любая сборка PHP 8.2 безопасна. Исправления выпущены в версии 8.2.35. Кроме того, PHP 8.2 завершает официальную поддержку 31 декабря 2026 года, поэтому стоит планировать переход на более новую ветку.

А если сайт работает на PHP 7.4, 8.0 или 8.1?

Эти версии больше не поддерживаются непосредственно проектом PHP. Некоторые поставщики предлагают собственные исправления, но их наличие нужно подтвердить. В долгосрочной перспективе рекомендуется переход на поддерживаемую ветку PHP с учётом совместимости сайта.

Может ли хостинг обновить PHP автоматически?

Да, на управляемом хостинге провайдер может самостоятельно устанавливать исправления. Но на VPS и выделенных серверах ответственность часто лежит на владельце или администраторе. Лучше уточнить ситуацию у своего провайдера, а не предполагать, что обновление уже выполнено.

Что делать, если после обновления PHP сайт перестал работать?

Нужно проверить журналы ошибок, совместимость CMS, сторонних модулей, расширений PHP и индивидуальных доработок. Не стоит надолго возвращаться на уязвимую версию ради восстановления работоспособности — безопаснее устранить несовместимость или задействовать подготовленный план восстановления.

Как узнать, что сайт уже взломали?

Обратите внимание на неизвестные файлы, подозрительные изменения кода, неожиданные редиректы, необычные запросы в логах и постороннюю активность. Но отсутствие очевидных признаков ещё не доказывает, что атаки не было. Если есть основания подозревать компрометацию, требуется полноценная проверка.

Нужно ли проверять сайт, если он открывается нормально?

Да. Уязвимости серверного ПО не обязательно сопровождаются заметными ошибками. Сайт может работать привычно и одновременно оставаться доступным для потенциальной атаки.

Может ли MediaMint помочь с обновлением PHP?

Да. Мы можем проверить окружение сайта на 1С-Битрикс, оценить необходимость обновления, помочь с установкой безопасной версии и устранением проблем совместимости. Конкретный порядок работ зависит от конфигурации хостинга и доступов к серверу.

Не ждите, пока проверять сайт придётся уже после взлома

История с уязвимостями PHP от 21 октября 2026 года — хороший пример того, почему безопасность сайта не заканчивается установкой CMS и покупкой SSL-сертификата.

Сайт может быть современным, красивым, удобным и отлично продвигаться в поиске, но при этом использовать серверный компонент, в котором обнаружилась критическая ошибка.

Именно поэтому сейчас владельцам сайтов на 1С-Битрикс и других PHP-платформах важно не просто прочитать новость, а проверить версию PHP, установить необходимые исправления и убедиться, что проект продолжает нормально работать.

Потому что срочное обновление — это неприятная техническая задача на один вечер, а восстановление после серьёзного взлома может оказаться гораздо более продолжительным и дорогостоящим приключением.

Если не знаете, с чего начать, обращайтесь в MediaMint. Поможем проверить сайт, обновить серверное окружение и разобраться с проблемами безопасности без лишней паники и экспериментов на живом бизнесе.