Критическая уязвимость в PHP

[Ne_Guru]

Всем привет!
Объясните, ради Бога, простому человеку (админу), что именно надо делать сейчас, в настоящий момент?
Я так понял, что надо отключить возможность загрузки файлов в сообщениях?
(Отключил вложения.)
Нет? Что-то другое? Что-то еще?

[Kuskow]

Ne_Guru, зависит от того, какой у Вас хостинг.
Если виртуальный WEB-хостинг, то ничего вы не сделаете, пока Ваш хостинг-провайдер не сделает.
Если у Вас VPS, то прям вот сейчас очень быстро и легко можете в настройках Nginx добавить одну строку, а затем уже не торопясь спокойно обновлять свой PHP до вчерашней версии.

Сейчас зайдите в админ-панель форума, слева выберите "Сведения о PHP" и посмотрите, что написано в самой первой строчке под овальным логотипом. Если там PHP Version 8.3.36, то всё в порядке. Если что-то другое - пишите сюда.

Отключение вложений в phpBB никак не влияет ни на что. Так как всё ломается до того, как управление получит движок phpBB.

[Ne_Guru]

Спасибо, Kuskow!
У меня виртуальный WEB-хостинг, а в админке стоит версия 8.3.8

Отправлено спустя 2 минуты 52 секунды:
Только что провайдер написал: "В течении дня обновление для всех версий PHP на хостинге будет завершено.
С вашей стороны никаких действий не требуется".

[Kuskow]

Провайдер написал правильно, от Вас ничего не требуется, и Вы ничего сделать не сможете. Версия старая, надеемся, что до Вашего сервера не доберутся раньше, чем провайдер обновится. А даже если и доберутся - провайдер восстановит сайт их бэкапа. На виртуальных хостингах он делается как само собой.

[Ne_Guru]

Спасибо большое, Kuskow, за бесценную помощь!

Отправлено спустя 17 минут 54 секунды:
Хотелось бы еще узнать, хоть это "из другой оперы": а почему добавление файлов на форуме заблокировано?

Отправлено спустя 4 минуты 45 секунд:
P.S. Личные сообщения тоже нельзя отправлять?

[angst66]

Обновил HestiaCP через терминал от root. Все ветки php обновились до актуальных версий

[Kuskow]

а почему добавление файлов на форуме заблокировано?

Я не знаю, но предполагаю, что это временно заблокировали на самом низком уровне, а так как там это стало невозможным, то и сразу всех уведомили, чтоб не пытались и не пробовали, и не переспрашивали.

[Ne_Guru]

А если вместо личного сообщения письмо отправить (там есть такая функция), оно дойдет?
У меня, вроде бы, ушло, но гарантии никакой нет, что дошло до цели.

Отправлено спустя 11 минут 18 секунд:
Да, спасибо!
Письмо получил!

[apollion]

Бегет уже всё сделал. Днем пришло письмо от них.

Уязвимости PHP устранены — обновления установлены

Здравствуйте!

21 октября разработчики PHP сообщили о двух критических уязвимостях, которые могли позволить злоумышленникам получить несанкционированный доступ к серверам и данным сайтов.

Для защиты ваших сайтов мы оперативно ввели временные ограничения на обработку загрузок файлов и работу отдельных механизмов PHP.

Проблема устранена!

Мы установили необходимые обновления безопасности PHP на виртуальном хостинге и выделенных серверах под нашим администрированием.

Все временные ограничения сняты, работа сервисов восстановлена.

Никаких дополнительных действий с вашей стороны не требуется.

Подробнее об уязвимостях и исправлениях — в официальном сообщении разработчиков PHP.
https://www.php.net/archive/2026.php

===============
Так-то у меня давно отключена загрузка файлов на сервер через форму темы\комментария, а точнее - всё было отключено с самого начала. Так как пользователи любят загружать всякий мусор и хлам - картиночки и т. д. А место на сервере не резиновое и перманентный мусор от юзеров мне там не нужен. Картиночки и файлы они загружают на сторонние хостинги, а если ссылка умирает - я потом вручную её прибиваю, чтобы не отображалось, что-то типа
[x] Изображение

Кстати, надо найти эту строку в коде и поменять на надпись "Нет изображения. Файл удалён" или типа того.))
Когда кто-то из пользователей поместить в подписи картинку согласно ограничениям на подпись - он просит меня и я загружаю её на сервер.

[ЯМарина]

Добрый день!
Перечитала все. Поняла, что ужас, но что конкретно делать не ясно(
У меня PHP Version 8.3.30.
Можете подсказать, какие действия нужны, что я могу сделать?

[Kuskow]

ЯМарина, Вам нужно обновить PHP. Если хостинг виртуальный, то сделать это может только администрация хостинга. Если VPS, тогда Вы сами должны это сделать. Для этого надо зайти в консоль сервера под пользователем root и поочерёдно выполнить команды:

Код: Выделить всё

apt-get update
apt-get --only-upgrade install "php8.3*" php-common
systemctl restart php8.3-fpm

Если Вы пользуетесь панелью управления сервером Fastpanel или ispmanager, или CyberPanel, то там есть обновление прям в интерфейсе панели (не нужно заходить в консоль сервера).

[apollion]

ЯМарина,

Чтобы не пересказывать простынями - вот статьи от хостера, хоть и не вашего хостера наверно, но что делать понять можно:
Вот пояснение о том, что произошло - для пользователей:

Уязвимость в PHP от 21.10.2026 Update от 22.10.2026
https://beget.com/ru/news/2026/uyazvimo ... 21-10-2026

А вот пояснение о новой версии php и инструкции и что делать:

PHP 8.5 для виртуального хостинга – что нового: обзор обновления - Как обновить версию PHP
https://beget.com/ru/news/2026/php-8-5-chto-novogo

На примере этих инструкций по 2-й ссылке - сделать то же самое на своем сайте у своего хостера.
Если что - напишите тикет в ТП своего хостера - они могут и подказать что-то, и даже сделать всё за вас - если у вас вирт. хостинг или VPS под их администрированием.

Если VPS под вашим администрированием, вариантов два:
- всё делаете сами
- у хостера может быть услуга платного админ-я с почасовой оплатой.

PS:
У бегета самая последняя доступная версия php - 8.5.x.

[ЯМарина]

Спасибо вам огромное!!Хостинг не виртуальный.
Сейчас попробую разобраться и им напишу.

[apollion]

Виртуальный - это обычный хостинг или шаред, когда сайт клиента находится с сайтами других клиентов на сервере хостера.
VPS - это другое и по дефолту у многих хостеров бесплатная помощь только: - первичная установка VPS и первичная настройка при заказе\оплате тарифа на VPS.

[jd8615]

ispmanager выпустил обновления включая 7.4

В ispmanager выпустили сборки, исправляющие уязвимость (https://t.me/ispmanager/712) в устаревших версиях PHP:

5.4.45-1794
5.5.38-1794
5.6.40-1786
7.0.33-1786
7.1.33-1786
7.2.34-1786
7.3.33-1786
7.4.33-1782
8.0.30-1782
8.1.34-1782

Ранее выпустили патчи к актуальным версиям:
8.2.35-1781
8.3.36-1781
8.4.27-1781
8.5.12-1781

Выпустили «нативные» PHP с поддержкой модуля лимитирования для Alma 9/10:
8.0.30-8.el9.alma.1.857351
8.3.36-1.el10.857351

Обновления доступны на всех версиях ispmanager на актуальных OC.

В brainycp пока только время доступа к директории репы обновили, но самих обновлений пока нет.