Критические обновления безопасности PHP и Node.js: что мы уже сделали и что нужно сделать Вам

Сегодня, 21 октября 2026 года, вышли обновления безопасности PHP и Node.js. Особенно важны исправления PHP: они закрывают две критические уязвимости, позволяющие злоумышленнику выполнять код на веб-сервере без авторизации. Сообщения об атаках появились ещё до выхода исправлений.

Мы уже обновили WireBoard. Всё прошло без простоев. Вам не нужно ничего менять ни в аккаунте WireBoard, ни в скрипте отслеживания.

Но если Ваш сайт или приложение работает на PHP или Node.js, прочитайте рекомендации ниже и установите обновления сегодня.

Коротко о главном

• Используете WordPress, Magento, Drupal, Laravel или другое PHP-приложение? Значит, у Вас работает PHP. Обновите его сейчас.

• У Вас виртуальный хостинг или хостинг с администрированием? Исправления PHP устанавливает провайдер. Убедитесь, что он это сделал.

• После обновления PHP перезапустите PHP-FPM или Apache, иначе продолжит работать старая версия.

• Используете версию, поддержка которой закончилась (PHP 8.1 и старше, Node.js 25, 23, 20 и старше)? Официальных исправлений для неё не будет. Запланируйте переход на поддерживаемую версию.

Что произошло

PHP: «PHP2Shell» (CVE-2026-109618 и CVE-2026-109619)

Команда PHP выпустила исправления двух критических уязвимостей. Обе получили оценку 9,2 по шкале CVSS v4.0:

• CVE-2026-109618: удалённое выполнение кода из-за повреждения памяти, когда PHP исчерпывает доступную память во время обработки запроса.

• CVE-2026-109619: удалённое выполнение кода из-за устаревшего глобального состояния.

Обе уязвимости можно использовать удалённо, без авторизации и при настройках по умолчанию. Подробности утекли в сеть за день до запланированного релиза. Компании по информационной безопасности зафиксировали атаки и попытки прощупать PHP-сайты ещё до выхода исправлений. Несколько компаний в качестве меры предосторожности отключили свои сервисы до установки обновлений.

Уязвимости затрагивают все поддерживаемые ветки PHP: версии ниже 8.2.35, 8.3.36, 8.4.27 и 8.5.12.

Node.js: обновление безопасности за октябрь 2026 года

Для веток Node.js 26.x, 24.x и 22.x вышли исправления 10 уязвимостей. Четырём присвоен высокий уровень опасности. Главные из них:

• CVE-2026-111497: запись за границы буфера при распаковке Brotli, которая может привести к удалённому выполнению кода. Приложению достаточно вызвать fetch() для обращения к серверу, который возвращает данные, сжатые Brotli.

• CVE-2026-105483 / CVE-2026-106069: обход проверки имени узла в TLS с помощью нестандартной записи IP-адресов.

• CVE-2026-105482: dns.resolve мог разрешать не то доменное имя, которое проверял Ваш код.

Что мы сделали

Сегодня мы установили оба обновления во всей инфраструктуре WireBoard. Обошлось без простоев, данные не пострадали. Для Вас работа с WireBoard остаётся прежней.

Нужно ли Вам что-то делать?

Да, если на Вашем сайте, в приложении или на сервере используется:

• PHP, напрямую либо через CMS или фреймворк: WordPress, WooCommerce, Magento, Drupal, Joomla, Laravel, Symfony и другие.

• Node.js, например в приложении на Next.js, Nuxt, Express или NestJS, в серверном сервисе или на сервере сборки.

Не уверены? Уточните у разработчика или хостинг-провайдера. Достаточно спросить: «Наш сайт работает на PHP или Node.js? Сегодняшнее обновление безопасности уже установлено?»

Как проверить версию

PHP

Важна версия PHP, которую использует веб-сервер. Команда php -v в терминале показывает версию PHP для командной строки. Она может отличаться.

1. Создайте в корневом каталоге сайта файл info.php с содержимым <?php phpinfo();

2. Откройте его в браузере и посмотрите значение PHP Version вверху страницы.

3. Сразу после проверки удалите файл: он раскрывает полную конфигурацию сервера.

Версия PHP также отображается во многих панелях управления хостингом, включая cPanel и Plesk.

Если Вы используете пакеты дистрибутива Linux: Ubuntu, Debian, RHEL и другие дистрибутивы часто переносят исправления в свои пакеты, не меняя номер версии PHP. В этом случае ищите идентификаторы CVE в журнале изменений пакета (подробнее ниже).

Node.js

node -v

Исправления установлены, если команда показывает v26.12.1, v24.22.1, v22.23.4 или более новую версию в той же ветке.

Как обновить PHP

Выберите раздел в зависимости от того, как PHP установлен на Вашем сервере.

Виртуальный хостинг или хостинг с администрированием

За PHP и установку исправлений отвечает провайдер. Проверьте его страницу состояния сервисов или объявления, затем уточните версию через phpinfo(), как описано выше. Если панель управления позволяет выбрать версию PHP, а у Вас установлена 8.1 или старше, перейдите на 8.2 или новее. Сначала убедитесь, что Ваша CMS и плагины её поддерживают.

Ubuntu / Debian

sudo apt update
# replace 8.3 with the PHP branch you use
sudo apt install --only-upgrade 'php8.3-*'

# confirm the fix is included
apt changelog php8.3-fpm | grep -E 'CVE-2026-10961(8|9)'

Если последняя команда ничего не вывела, исправления ещё не появились в репозитории Вашего дистрибутива. Проверьте уведомления безопасности Ubuntu или трекер безопасности Debian и повторите попытку позже. Если Вы используете пакеты PHP от Ондржея Сури (Ondřej Surý), обновите их из его репозитория тем же способом.

RHEL / AlmaLinux / Rocky Linux

dnf module list php          # see which PHP stream you're on
sudo dnf upgrade 'php*'

# confirm the fix is included
rpm -q --changelog php-fpm | grep -E 'CVE-2026-10961(8|9)'

Если Вы используете репозиторий Remi, установите обновления из него.

Docker

Загрузка нового образа не обновляет уже запущенные контейнеры. Загрузите образ, выполните сборку и пересоздайте контейнеры:

docker pull php:8.3-fpm        # use your tag
docker compose build --pull
docker compose up -d

Для надёжности укажите конкретную версию с исправлениями в Dockerfile, например FROM php:8.3.36-fpm.

Сборка из исходников или Windows

Скачайте версию с исправлениями на php.net/downloads.

После обновления перезапустите PHP

Этот шаг легко упустить. Уже запущенные процессы продолжают использовать старый PHP до перезапуска:

# PHP-FPM (Debian/Ubuntu; replace 8.3 with your branch)
sudo systemctl restart php8.3-fpm

# PHP-FPM (RHEL family)
sudo systemctl restart php-fpm

# Apache with mod_php
sudo systemctl restart apache2   # or httpd on RHEL

Затем снова проверьте phpinfo() и убедитесь, что используется новая версия.

«Можно просто поменять настройки?»

Нет. Сначала в сети появились временные меры, например отключение session.upload_progress.enabled. Но они лишь снижают риск. Один из разработчиков ядра PHP публично заявил, что единственный надёжный способ защиты состоит в обновлении PHP. Если Вы уже применили временную меру, оставьте её до установки обновления. Само обновление всё равно необходимо.

Как обновить Node.js

После обновления перезапустите приложение (или разверните его заново) и проверьте версию командой node -v.

Если поддержка Вашей версии закончилась

Официальные исправления выходят только для поддерживаемых версий:

• PHP: 8.2, 8.3, 8.4 и 8.5. Для PHP 8.1 и старше официальных обновлений не будет. Некоторые дистрибутивы Linux и поставщики платной долгосрочной поддержки переносят исправления в старые версии. Уточните это у своего поставщика. Если таких исправлений нет, безопаснее перейти на поддерживаемую ветку. Учтите, что обновления безопасности для PHP 8.2 выходят только до 31 декабря 2026 года.

• Node.js: 22.x, 24.x и 26.x. Поддержка веток 25, 23 и 20 уже закончилась, исправлений для них не будет.

Если обновиться сразу не получается, рассмотрите временную защиту сайта с помощью межсетевого экрана веб-приложений (WAF) или ограничьте доступ до установки обновления.

Подробнее

Официальные сообщения

• Новости PHP и анонсы релизов

• Бюллетень безопасности PHP GHSA-w8hw-w9fx-j79w (CVE-2026-109618)

• Бюллетень безопасности PHP GHSA-6wmf-4rv5-p3rp (CVE-2026-109619)

• Поддерживаемые версии PHP

• Node.js: обновления безопасности от 21 октября 2026 года, среда

Полезные материалы

• GoDaddy: важное обновление безопасности PHP и что нужно сделать владельцам сайтов (обзор простым языком)

• Help Net Security: PHP2Shell исправлена, пора обновляться

• ma.ttias.be: как установить исправления PHP (статус обновлений по дистрибутивам)

• Lilting: разбор исправлений Node.js за октябрь 2026 года (подробный технический анализ)