Критические уязвимости в PHP

22.10.2026

Уважаемые партнеры и клиенты!

Информируем вас о выявлении двух критических уязвимостей в языке программирования PHP (CVE-2026-109618 и CVE-2026-109619). PHP широко используется для обеспечения работы веб-сайтов, корпоративных порталов, CRM-систем и других веб-приложений, включая популярные платформы, такие как 1С-Битрикс и Nextcloud.

Уровень критичности данных уязвимостей оценивается в 9,2 из 10 по шкале CVSS. Мы настоятельно рекомендуем ознакомиться с этой информацией и принять меры защиты в кратчайшие сроки.

Суть угрозы: что известно об уязвимостях

Эксплуатация данных уязвимостей позволяет злоумышленникам удалённо выполнять произвольный код на сервере без предварительной авторизации (Remote Code Execution, RCE).

Это создает прямые риски:

• Полной компрометации веб-сервера;
• Массовой утечки конфиденциальных данных клиентов и компании;
• Нарушения работы критически важных информационных систем (простой сайта или портала);
• Дальнейшего распространения атаки и перемещения злоумышленников внутри корпоративной сети.

Важно: в открытом доступе уже появилась информация и готовые инструменты для эксплуатации этих уязвимостей, что многократно увеличивает скорость и вероятность автоматизированных атак на неподготовленные ресурсы.

Какие системы находятся в зоне риска

Под угрозу попадают любые проекты, использующие уязвимые версии PHP, в частности:

• Корпоративные порталы и интернет-магазины на 1С-Битрикс;
• Облачные хранилища и системы совместной работы (Nextcloud и аналоги);
• Кастомные веб-приложения и сайты на PHP;
• Серверы с устаревшими, неподдерживаемыми версиями PHP (End of Life).

Пошаговый план действий для защиты инфраструктуры

В связи с высокой критичностью угрозы, команда экспертов «Первый номер» рекомендует выполнить следующие действия:

1. Проведите инвентаризацию: проверьте наличие и использование PHP на всех серверах и веб-ресурсах организации, особенно тех, которые имеют доступ из сети Интернет.
2. Обновите версии PHP: установите выпущенные патчи безопасности. Для поддерживаемых веток исправления включены в следующие версии:
   • PHP 8.2.35
   • PHP 8.3.36
   • PHP 8.4.27
   • PHP 8.5.12
3. Примите временные меры защиты: если оперативная установка обновлений невозможна, временно ограничьте доступ к уязвимым веб-сервисам из сети Интернет (например, через настройки брандмауэра/WAF). Для удаленной работы сотрудников используйте исключительно защищенные каналы, такие как VPN.
4. Уделите внимание устаревшим версиям: для версий PHP, достигших конца жизненного цикла (EOL), срочно проверьте наличие патчей от поставщика операционной системы или запланируйте миграцию на современную поддерживаемую версию PHP.

Чем может помочь компания «Первый номер»

Понимая всю серьезность ситуации, мы готовы оперативно поддержать ваш бизнес. Если у вас нет штатных системных администраторов или вы хотите убедиться в надежности своей инфраструктуры, мы предлагаем:

• Экспресс ИТ аудит ваших серверов и веб-ресурсов на наличие уязвимых версий PHP.
• Безопасное обновление окружения и тестирование работоспособности сайтов (включая 1С-Битрикс и Nextcloud) после установки патчей.
• Настройку правил WAF и сетевого экранирования для временной блокировки векторов атаки.

Просим не откладывать проверку и принятие защитных мер. Эксплуатация указанных уязвимостей может привести к серьёзным финансовым и репутационным последствиям для информационной безопасности вашей организации.

Свяжитесь с нами прямо сейчас, чтобы убедиться, что ваши веб-ресурсы надежно защищены.

Возникли вопросы?