FastPanel 1.11.87: закрыты две RCE-уязвимости в PHP

Панель управления FastPanel выпустила обновление 1.11.87, в котором закрыты две критические уязвимости удалённого выполнения кода в PHP — CVE-2026-109618 и CVE-2026-109619. Обновление затрагивает сам интерпретатор, а значит касается любого сайта, который обслуживается панелью на VPS.

Какие версии PHP исправлены

В релизе перечислены конкретные ветки: PHP 7.4.33, 8.2.35, 8.3.36, 8.4.27 и 8.5.12. Остальные версии PHP в рамках этого обновления не патчились, и разработчик прямо предупреждает: использовать их не рекомендуется — нужно перейти на одну из перечисленных сборок.

Отдельно стоит отметить, что 7.4 и 8.2 — уже не самые свежие ветки. Наличие 7.4 в списке связано именно с закрытием уязвимости, а не с возвратом полноценной поддержки.

Что делать владельцу VPS

Уязвимость типа RCE в PHP означает, что злоумышленник может выполнить свой код от имени веб-сервера. На практике это чтение файлов сайта, доступ к конфигам с паролями баз данных и дальнейшее движение по серверу.

Порядок действий простой:

• обновите панель до версии 1.11.87;
• проверьте, какая версия PHP закреплена за каждым сайтом, — если 8.0 или 8.1, переключите на 8.2 и выше;
• после переключения откройте сайт: старые CMS и самописные скрипты могут не заработать на новой ветке;
• просмотрите логи веб-сервера на подозрительные POST-запросы за последние дни.

Если на сервере живёт legacy-проект, которому нужна именно старая ветка, безопаснее поднять его на отдельном VPS, чем держать уязвимый PHP рядом с рабочими сайтами.

Что это значит

Панель упрощает администрирование, но не снимает с владельца ответственность за патчи: обновление PHP внутри стека остаётся его задачей. При выборе тарифа полезно заранее смотреть, какие версии PHP доступны и насколько просто переключаться между ними, — это экономит часы в момент таких релизов. Актуальные конфигурации с ценами собраны в каталоге VPS.