Критическая уязвимость в PHP (CVSS 9,2): что делать владельцам VPS

В интерпретаторе PHP обнаружены две критические уязвимости — CVE-2026-109618 и CVE-2026-109619. Обе относятся к классу RCE (удалённое выполнение кода): при наличии уязвимой версии и сетевого доступа к серверу злоумышленник получает полный контроль над системой, причём в автоматическом режиме.

Что известно

Оценка опасности по CVSS 4.0 — 9,2 из 10. Под удар попадают версии PHP начиная с 5.4.0, то есть практически весь парк установок, которые ещё встречаются на живых серверах. Публичных эксплойтов, по сообщению источника, уже достаточно: инструменты находятся в открытом доступе, а время между обнаружением уязвимости и взломом измеряется минутами.

Отдельно подчёркивается: на серверах с root-доступом, которые клиент администрирует сам, ответственность за устранение лежит на владельце. Хостер обеспечивает железо и сеть, но не обновляет приложения внутри вашего VPS.

Что делать в первую очередь

• обновить PHP до версии с исправлениями — это единственное полное решение;
• если обновление сейчас невозможно, закрыть из интернета веб-приложения на уязвимой версии PHP;
• при невозможности закрыть — поставить фильтрацию входящих запросов через WAF или иные средства защиты;
• ограничить доступ к админ-панелям: только доверенные IP или VPN;
• отключить неиспользуемые компоненты и способы запуска PHP;
• урезать права учётной записи PHP — запретить запись за пределами каталогов приложения;
• усилить контроль логов веб-сервера, PHP и ОС: подозрительные дочерние процессы, незнакомые файлы, правки конфигурации, необычные исходящие соединения.

Что это значит

Уязвимость такого класса — не теоретический риск, а прямой сценарий компрометации: RCE на PHP означает доступ к файлам, базе и всей системе под тем же пользователем, от которого работает сайт. Для владельца VPS это повод проверить не только версию PHP (`php -v`), но и то, кто отвечает за обновления на конкретном сервере: на managed-тарифах это делает провайдер, на обычном VPS с root — вы сами. Если обновление откладывается, минимальный набор мер — WAF плюс ограничение админ-доступа по IP — заметно снижает шанс попадания под массовый сканер. Проверить, подходит ли текущий тариф под задачу (и есть ли поддержка обновлений), можно в каталоге VPS или в карточке Rusonyx.