IT-GETКритическая уязвимость в PHP: код на сайте выполняют без входа в систему
В PHP обнаружили критическую уязвимость (CVE-2026-109619, оценка опасности 9,2 из 10), которая позволяет злоумышленнику удалённо выполнить свой код на сервере. Уязвимость уже используется в реальных атаках, поэтому обновление нельзя откладывать.
Чем опасно
Злоумышленник может выполнить на сервере свой код без логина и пароля — то есть получить контроль над сайтом или веб-приложением. С этого шага он способен украсть данные, включая сведения о клиентах и заказах, подменить содержимое сайта или использовать сервер для дальнейших атак. Для этого ему достаточно отправить специально подготовленные запросы: ошибка связана с тем, что внутреннее состояние PHP между запросами сбрасывается не полностью.
Кого касается
Все, у кого есть сайт или внутренний веб-сервис на PHP, в том числе сайты на WordPress и 1С-Битрикс, а также самописные системы на PHP. Уязвимые версии — в бюллетене производителя; уточнить версию PHP можно у хостинг-провайдера или системного администратора.
Что сделать
- Проверьте, какая версия PHP используется на сайте или веб-сервисе: у своего администратора или у хостинг-провайдера.
- Установите обновление PHP по бюллетеню производителя; если сайт на хостинге — запросите обновление у провайдера письменно.
- Если обновление пока невозможно, ограничьте доступ к уязвимому сервису из интернета и включите защиту веб-приложения (WAF) у хостера.
- Проверьте журналы веб-сервера за последние недели на подозрительные запросы и изменения файлов сайта.
- После обновления смените пароли администраторов сайта и проверьте, не появились ли новые пользователи и задачи по расписанию.
Поможем закрыть уязвимость
Не уверены, касается ли это вас? Оставьте контакты — проверим ваши системы и устраним уязвимость. Консультация бесплатная.