Критическая уязвимость в PHP

[Kuskow]

21 октября 2026 года в 14:00 UTC, команда разработчиков PHP выпускает экстренное обновление безопасности для устранения двух критических уязвимостей.
https://habr.com/ru/news/1097016/

Это новость или старость? И как, интересно, обновлять PHP? Вообще никогда с этим не сталкивался.

[Siava]

Kuskow, новость.
Тут ещё есть: https://www.opennet.ru/opennews/art.shtml?num=66516

[KEMnEP]

Сейчас эмбарго спадёт на публикацию и... Всё, что ниже 8 и новее 5..... А вот неизвестно, что там, но нужно будет обновлять

[Kuskow]

А как обновлять-то? HestiaCP сама это сделает? 8.3, если что

[KEMnEP]

HestiaCP

просто шаблоны, тем более не все версии хестии сами по себе обновляется уже. Так что ручками. Знать бы ещё, что затронуто и как кретично.

Отправлено спустя 8 минут 36 секунд:
Но говорят основной удар multipart/form-data загрузка файлов

[ps7]

вот письмо на эту тему от Бегет:
*************************************************
Здравствуйте!
Разработчики PHP сообщили о двух критических уязвимостях с уровнем опасности 9,2 из 10. Они представляют серьёзную угрозу для сайтов и сервисов, использующих PHP, вне зависимости от используемого хостинг-провайдера.

Официальное раскрытие разработчиками PHP подробностей и выпуск исправлений запланированы на 21 октября, 17:00 по московскому времени.
Виртуальный хостинг и выделенные серверы под нашим администрированием

Безопасность ваших сайтов — наш приоритет. Поэтому мы уже сейчас принимаем превентивные меры, опираясь на доступную информацию об уязвимостях.

В частности:
• Ограничиваем работу механизма upload_progress в PHP.
• Планируем временно ограничить обработку POST-запросов типа multipart/form-data, которые обычно используются для загрузки файлов на сервер.

Эти меры направлены на снижение риска эксплуатации уязвимостей, однако до публикации официальных подробностей мы не можем гарантировать, что они полностью исключают угрозу.

Дополнительно рекомендуем вам:
Проверьте версию PHP, которую используют ваши сайты.
Если у вас используется PHP ниже 8.2, рекомендуем по возможности перейти на PHP 8.2 или новее, предварительно проверив совместимость сайта.

Дело в том, что официальные исправления будут выпущены только для поддерживаемых версий PHP — начиная с 8.2. Пока мы не можем гарантировать возможность обновления более старых версий или назвать сроки появления решения для них.
Наши рекомендации для владельцев облачных серверов

Если вы самостоятельно администрируете облачный сервер (VPS/VDS), рекомендуем дополнительно принять следующие меры безопасности:
• Обновите PHP до версии 8.2 или новее, предварительно убедившись в совместимости ваших сайтов и приложений.
• Временно ограничьте потенциально уязвимые механизмы PHP. Рекомендуем отключить session.upload_progress и по возможности ограничить обработку POST-запросов типа multipart/form-data, используемых для загрузки файлов. Перед применением ограничений учитывайте, что они могут повлиять на работу форм и других функций ваших сайтов.
• Установите официальные исправления безопасности сразу после их выхода. Следите за обновлениями PHP и своевременно применяйте патчи для используемой версии.

Обратите внимание, что перечисленные ограничения являются временными мерами снижения риска и не гарантируют полной защиты от уязвимостей. Полноценное устранение угрозы потребует установки официальных исправлений.
Как эти ограничения могут повлиять на сайты
Временно могут возникать проблемы с загрузкой файлов через сайты, работой отдельных форм и другими функциями, использующими соответствующие механизмы PHP.

Ограничения распространяются на виртуальный хостинг Beget и выделенные серверы под нашим администрированием.
Все ограничения носят временный характер. После выхода официальных исправлений мы в приоритетном порядке обновим поддерживаемые версии PHP и снимем ограничения, когда это станет безопасно.
*************************************************

Отправлено спустя 2 минуты 13 секунд:
вопрос: Как это может коснуться форума 3.3.17 (версия php 7.4.33) ??? форум будет работать если обновлю php до 8.2 и выше?

[Татьяна5]

форум будет работать если обновлю php до 8.2 и выше?

Будет. Версия php поддерживается до 8.3 включительно, это официально. Неофициально и на 8.4 запускают

[ps7]

я правильно понимаю,что сейчас хостинг (тот же Бегет) может отключить на своем уровне вот эти функции

Ограничиваем работу механизма upload_progress в PHP.
• Планируем временно ограничить обработку POST-запросов типа multipart/form-data, которые обычно используются для загрузки файлов на сервер.

и в форуме не будут работать загрузки, до тех пор пока не выйдут обновления php 8.2 и они не появятся у хостера ?

[Татьяна5]

до тех пор пока не выйдут обновления php 8.2

Уже вышли

[ps7]

странно , письмо от Бегет пришло только сегодня и из него следует что они ждут этих обновлений

Дело в том, что официальные исправления будут выпущены только для поддерживаемых версий PHP — начиная с 8.2. Пока мы не можем гарантировать возможность обновления более старых версий или назвать сроки появления решения для них.

[Kuskow]

Поздравляю, обновление успешно завершено! Судя по логам, все пакеты, включая php8.3-fpm, обновились до целевой безопасной версии 8.3.36-1+0~20261021. Тот факт, что триггеры для php8.3-fpm отработали, означает, что служба перезапустилась с новым кодом.

Великолепно! В выводе четко видно: PHP 8.3.36. Дата сборки — Oct 21 2026 (то есть исправленная версия была скомпилирована буквально сегодня).
Это подтверждает, что критическая уязвимость успешно устранена. Обновление прошло корректно: интерпретатор командной строки (CLI) и менеджер процессов (FPM) теперь используют безопасный код, а ваши персональные настройки конфигурации в HestiaCP полностью сохранены.
Ваш сервер успешно защищен от этой угрозы.

Было:

Код: Выделить всё

PHP 8.3.30 (cli) (built: Feb 13 2026 15:51:24) (NTS)
Copyright (c) The PHP Group
Zend Engine v4.3.30, Copyright (c) Zend Technologies
    with Zend OPcache v8.3.30, Copyright (c), by Zend Technologies

Стало:

Код: Выделить всё

PHP 8.3.36 (cli) (built: Oct 21 2026 08:22:00) (NTS)
Copyright (c) The PHP Group
Zend Engine v4.3.36, Copyright (c) Zend Technologies
    with Zend OPcache v8.3.36, Copyright (c), by Zend Technologies

[Kuskow]

Статья в Википедии PHP2Shell

[Evangelion]

При создании темы, редактирования сообщения или нажатия предпросмотра появляется ошибка 403 Forbidden nginx.
В error.log ничего нет за это время.
В access.log так:

Код: Выделить всё

109.75.135.81 - - [21/Oct/2026:19:23:31 +0300] "GET /posting.php?mode=edit&p=204539 HTTP/1.1" 200 99860 "https://forum.ru/viewtopic.php?p=204539" "Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/150.0.0.0 YaBrowser/26.8.0.0 Safari/537.36"
109.75.135.81 - - [21/Oct/2026:19:23:35 +0300] "POST /posting.php?mode=edit&p=204539 HTTP/2.0" 403 166 "https://forum.ru/posting.php?mode=edit&p=204539" "Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/150.0.0.0 YaBrowser/26.8.0.0 Safari/537.36"

Если отключаю Вложения, то ошибка пропадает и всё в норме.
На хостинге память 35Гб занято из 40Гб, это может быть причиной?

[dimassamid]

Думаю, что связано с этим: https://beget.com/ru/news/2026/uyazvimo ... 21-10-2026
Ваш хостинг-провайдер мог ограничить работу php.

[Evangelion]

Интересно, сколько ждать эти исправления...

Отправлено спустя 18 минут 32 секунды:
Хостер Регру
Было: Версия PHP: 8.2.31
Поменял на: Версия PHP: 8.3.31
Но всё равно ошибка эта есть.
Из доступных имеются только такие:
8.2.31
8.2.31 (ioncube)
8.3.31
8.3.31 (ioncube)
8.4.25
8.4.25 (ioncube)
8.5.10