Критические CVE в PHP: Hetzner просит срочно обновить серверы

Hetzner предупредил клиентов о двух критических уязвимостях в PHP — CVE-2026-109618 и CVE-2026-109619. Разработчики PHP уже выпустили обновления безопасности, которые закрывают обе проблемы, и провайдер настоятельно рекомендует установить их как можно скорее.

Почему это касается именно вас

Hetzner напоминает принципиальную вещь, о которой часто забывают: на выделенных и облачных серверах ответственность за установку обновлений безопасности лежит на клиенте, а не на хостинге. Провайдер даёт железо, сеть и панель, но пакеты внутри вашей ОС обновляете вы сами. Уязвимости в PHP при этом опасны тем, что позволяют злоумышленнику выполнить вредоносный код в затронутой системе при определённых условиях — то есть на практике это риск получить чужой доступ к приложению, а дальше к файлам и данным.

Если PHP у вас стоит — на сайте, в API, в админке, в самописном сервисе, — обновите его до версии с исправлениями из архива релизов на php.net (запись от 21 октября 2026). Дистрибутивные пакеты (Debian, Ubuntu, AlmaLinux) тоже получают патчи: проверьте список доступных обновлений (apt/dnf) для вашей системы, а после обновления перезапустите PHP-FPM и веб-сервер.

Что сделать после обновления

• Просмотрите логи веб-сервера и PHP за последние дни на предмет необычных запросов и ошибок — Hetzner прямо просит следить за признаками атаки.
• Проверьте целостность файлов приложения и наличие лишних процессов, особенно если на сервере крутится публично доступное PHP-приложение.
• Пересоберите контейнеры, если PHP работает в Docker: обновление на хосте не затрагивает образы.
• Держите под рукой страницу статуса провайдера — по инциденту заведена отдельная запись в status.hetzner.com.

Сравнить конфигурации и цены можно в карточке Hetzner: 21 тариф от 519 ₽, площадки в Фалькенштайне, Нюрнберге, Хельсинки и Ашберне.

Что это значит

Критические CVE в PHP выходят регулярно, и разница между «обновился за час» и «узнал через неделю» измеряется не удобством, а фактом взлома. Главный вывод новости не про Hetzner, а про модель ответственности: на IaaS и VPS патчи — ваша задача. Разумный минимум для любого сервера с PHP — автоматические security-обновления ОС, регулярная проверка версии PHP и понятный чек-лист действий на случай срочного патча.