21 октября 2026 года разработчики PHP объявили о подготовке экстренных обновлений для устранения двух критических уязвимостей с рейтингом опасности CVSS 9.2 из 10. Ошибки потенциально могут позволить злоумышленнику выполнить код на уязвимом сервере.
Официальная информация и исправления публикуются командой PHP. Подробнее об угрозе: Уязвимость в PHP от 21.10.2026 — Beget.
Если Ваш сайт размещен на обычном хостинге Beget, то хостинг уже принимает первичные меры
Виртуальный хостинг и выделенные серверы под нашим администрированием
Безопасность ваших сайтов — наш приоритет. Поэтому мы уже сейчас принимаем превентивные меры, опираясь на доступную информацию об уязвимостях.
В частности:
- Ограничиваем работу механизма upload_progress в PHP.
- Планируем временно ограничить обработку POST-запросов типа multipart/form-data, которые обычно используются для загрузки файлов на сервер.
Эти меры направлены на снижение риска эксплуатации уязвимостей, однако до публикации официальных подробностей мы не можем гарантировать, что они полностью исключают угрозу.
Что мы делаем со стороны eByeBots
eByeBots использует прокси-сервер между посетителем и вашим основным сайтом. Уязвимые механизмы PHP не используются в программной части прокси-сервера, поэтому описанная проблема не связана непосредственно с работой нашего сервиса.
Тем не менее мы учитываем угрозу и обновим PHP в тех компонентах нашей инфраструктуры, где он используется, после официального выхода исправленных сборок, если они применимы к этим компонентам.
Мы так же фильтруем большое количество ботов, по разным нашим проверкам.
Наши механизмы могут снизить количество вредоносных запросов, достигающих основного сайта. Однако они не гарантируют обнаружение каждого сканера или блокировку неизвестного способа эксплуатации уязвимости.
Что необходимо сделать владельцам сайтов
Поскольку PHP обычно работает на основном сервере сайта или на сервере хостинг-провайдера, исправление необходимо устанавливать именно там.
Рекомендуем:
- Проверить версию PHP. Если вы используете VPS/VDS, уточните версию PHP, которая обслуживает сайт. Если сайт размещён на виртуальном хостинге, обратитесь к провайдеру или проверьте его уведомления.
- Установить официальное исправление безопасности сразу после его публикации для вашей версии PHP. После обновления убедитесь, что сайт продолжает корректно работать.
- Если используется устаревшая версия PHP, уточните, доступно ли для неё исправление. При необходимости запланируйте переход на поддерживаемую ветку с предварительной проверкой совместимости сайта.
- Проверить возможность прямого доступа к основному серверу. Если сайт работает через eByeBots, по возможности разрешите входящие HTTP/HTTPS-соединения к основному серверу только с доверенных IP-адресов прокси. Иначе злоумышленник может обойти фильтрацию и обратиться к сайту напрямую.
- Следить за журналами сервера. Обращайте внимание на необычные запросы, ошибки PHP, подозрительную активность и неожиданные изменения файлов. Воспользуйтесь нашей веб-аналитикой.
До выхода официального исправления дополнительные ограничения PHP или отдельных типов запросов можно рассматривать только как временные меры. Они способны нарушить работу загрузки файлов и форм, а также не гарантируют устранения уязвимости. Не применяйте их без оценки совместимости сайта.
Дополнительные меры до выхода официальных исправлений
По предварительным рекомендациям хостинг-провайдеров, временное ограничение механизма session.upload_progress и обработки POST-запросов типа multipart/form-data может снизить риск эксплуатации уязвимостей. Однако эти меры не гарантируют полной защиты и могут нарушить загрузку файлов и работу отдельных форм.
Если используется PHP ниже 8.2, проверьте возможность перехода на PHP 8.2 или новее с учётом совместимости сайта. Для самостоятельно администрируемых VPS/VDS временные ограничения необходимо настраивать самостоятельно.
После выхода официальных исправлений обновите PHP как можно скорее. Если вы используете виртуальный хостинг или сервер под управлением провайдера, уточните у него порядок установки обновлений. Также следите за подозрительной активностью в журналах сервера и веб-аналитике eByeBots.
Важно
Защита eByeBots помогает фильтровать вредоносный трафик до того, как он попадёт на ваш сайт. Но антибот-защита и обновление уязвимого программного обеспечения решают разные задачи и должны дополнять друг друга.
Рекомендуем не откладывать установку официального обновления PHP и следить за рекомендациями разработчиков.
Официальное раскрытие разработчиками PHP подробностей и выпуск исправлений запланированы на 21 октября, 17:00 по московскому времени.
