21 октября 2026 года разработчики PHP выпустили срочные обновления безопасности. Они закрывают две критические уязвимости, получившие оценку 9,2 по шкале CVSS 4.0. Уязвимости позволяют злоумышленнику выполнить произвольный код на сервере без авторизации.
1. Суть проблемы и риски
Уязвимости затрагивают почти все установки PHP, которые обрабатывают веб-запросы (mod_php, PHP-FPM, CGI и др.). Атака может сработать ещё до запуска кода сайта, поэтому даже хорошо настроенная авторизация в Битриксе не защищает.
Исправленные версии:
Все более старые версии (включая 7.4, 8.0 и 8.1) официальных релизов с полным исправлением не получили. Для них существуют только минимальные бэкпорты или сторонние сборки.
Риски при отсутствии обновления:
- Полный захват сервера
- Кража данных клиентов и баз
- Установка вредоносного ПО
- Использование сервера в дальнейших атаках
Попытки эксплуатации уже фиксируются в сети.
2. Что делать, если сайт на виртуальном (shared) хостинге
На обычном виртуальном хостинге вы не управляете версией PHP самостоятельно — это зона ответственности хостера.
Ваши действия:
- Зайдите в панель управления хостингом и посмотрите текущую версию PHP (или откройте файл
phpinfo.php). - Напишите в поддержку хостинга с просьбой подтвердить, что на вашем аккаунте установлена одна из исправленных версий (8.2.35 / 8.3.36 / 8.4.27 / 8.5.12 или бэкпорт для более старых веток).
- Попросите перезапустить PHP-процессы после обновления (иначе старая версия может остаться в памяти).
Большинство крупных хостеров уже выпустили обновления. Если хостер отвечает отказом или затягивает — это серьёзный сигнал задуматься о смене площадки.
3. Что делать владельцам облачного хостинга и VPS
На облачных серверах и VPS ответственность за обновление PHP лежит на вас (или на вашем системном администраторе).
Рекомендуемый порядок действий:
- Сделайте полный бэкап сайта и базы данных.
- Узнайте текущую версию PHP:
php -v - Обновите пакеты PHP до исправленной версии своей ветки через штатный менеджер пакетов (
yum/dnf/apt) или панель управления. - Обязательно перезапустите веб-сервер и PHP-FPM:
systemctl restart httpd # или systemctl restart php-fpm systemctl restart nginx - Проверьте, что сайт реально работает на новой версии (через
phpinfo()или диагностику Битрикса).
4. Отдельно для владельцев BitrixVM
BitrixVM 9.x
Это относительно современное окружение. Обычно достаточно штатного обновления:
- Сделайте резервную копию.
- В меню виртуальной машины выберите:
1. Manage servers in the pool → 8. Update PHP and MySQL (или актуальный пункт обновления PHP). - Выберите обновление до актуальной версии PHP (8.2.35 / 8.3.36 и выше).
- После обновления перезапустите сервисы и проверьте работу сайта.
В большинстве случаев этого достаточно.
BitrixVM 7.x (CentOS 7)
Здесь ситуация сложнее. Операционная система уже не поддерживается, репозиторий Remi для EL7 закрыт, а на многих серверах стоят PHP 7.4, 8.0, 8.1 или старые сборки 8.2/8.3.
Практическое решение, которое сейчас работает:
Использовать сторонний репозиторий rocketsky, который выпустил патченые пакеты специально для CentOS 7:
yum install -y https://yum.rocketsky.ch/rocketsky-php-release.rpm
rocketsky-php-repo status
yum update 'php*'
systemctl restart httpdПосле обновления версия может остаться прежней (например, 7.4.33), но пакеты уже будут содержать исправление.
5. Краткий вывод
Уязвимость критическая и активно эксплуатируется. Защита возможна только через обновление PHP на сервере.
- На виртуальном хостинге — требуйте подтверждения от хостера.
- На VPS и облаке — обновляйте сами или через администратора.
- На BitrixVM 9 — обновляйте через меню виртуальной машины.
- На BitrixVM 7 — используйте проверенные сторонние пакеты (например, rocketsky) и планируйте миграцию.
Если у вас возникли сложности с обновлением или нужна помощь с проверкой — обращайтесь в поддержку TravelSoft. Мы поможем проверить текущую версию PHP и подобрать безопасный вариант обновления для вашего проекта.
