Команда PHP предупредила о двух критических уязвимостях с оценкой опасности 9,2 из 10. Выпуск исправлений запланирован на 21 октября 2026 года, 17:00 по московскому времени. Подробности, затронутые версии и номера исправленных выпусков разработчики обещают опубликовать вместе с обновлением.
PHP нужен для работы WordPress и многих других сайтов. Это программное обеспечение сервера, поэтому владельцам стоит проверить сообщения хостинга и уточнить, кто установит исправления. Обновление WordPress, темы или плагинов само по себе эту задачу не решает.
Чем это опасно для сайта
CERT-EU предупреждает о возможном выполнении постороннего кода на сервере. Простыми словами, уязвимость может позволить злоумышленнику выполнять свои команды. Это серьёзный риск, но само уведомление об уязвимости ещё не означает, что ваш сайт уже взломан.
Какие проблемы вы можете заметить
До установки исправлений хостинг может временно ограничить отдельные функции. Например, Beget сообщил клиентам об ограничении механизма, связанного с загрузкой файлов, и планах ограничить некоторые запросы от форм. Из-за таких мер могут возникать следующие проблемы:
- Не загружаются изображения и документы в медиатеку WordPress.
- Не отправляются формы с прикреплёнными файлами: резюме, фотографиями или техническим заданием.
- Перестают работать отдельные формы и другие функции, использующие ограниченный способ отправки данных.
Если вы заметили такой сбой, сначала уточните у хостинга, связаны ли с ним временные ограничения. Не отключайте защиту ради восстановления загрузки файлов. При этом не стоит автоматически списывать любую ошибку сайта на эту ситуацию: причину нужно проверить.
Если у вас обычный виртуальный хостинг
Обновлением серверного PHP обычно занимается хостинг-провайдер. Чаще всего владельцу сайта не нужно самостоятельно устанавливать серверные пакеты. Вы можете заметить только временные ограничения, а технические работы выполнит хостинг.
Проверьте уведомления в личном кабинете и почте. Если информации недостаточно, отправьте в поддержку такой вопрос: «На сайте [адрес сайта] используется PHP [полная версия]. Когда будут установлены исправления критических уязвимостей от 21 октября 2026 года? Действуют ли сейчас ограничения на загрузку файлов и отправку форм?»
Если сайт использует старую неподдерживаемую ветку PHP, может потребоваться ваше участие: согласовать переход на новую ветку и проверить совместимость сайта. Автоматическое обновление со стороны провайдера не стоит предполагать без подтверждения.
Если у вас VPS или VDS
На сервере без услуги администрирования обновление должен организовать владелец или его администратор. Сам факт аренды VPS не означает, что хостинг обновляет установленное на нём программное обеспечение.
Если сервер находится под управлением специалиста или хостинга, передайте ему уведомление и уточните сроки. Для самостоятельно обслуживаемого сервера порядок действий такой:
- Проверить все сайты и используемые ими версии PHP. На одном сервере их может быть несколько.
- Создать актуальную копию файлов и базы данных. Перед сменой ветки PHP проверить совместимость WordPress, темы и плагинов.
- После выхода исправлений установить обновлённые пакеты через используемую систему управления сервером. При необходимости перезапустить службы и проверить, что сайты работают на обновлённом PHP.
- Проверить основные функции сайта и убедиться, что исправления действительно применены.
Временные ограничения снижают риск, но не заменяют исправление PHP. Если оперативно установить его невозможно, CERT-EU рекомендует рассмотреть временное закрытие приложения от публичного доступа. Такое решение нужно согласовать с администратором, учитывая работу сайта.
Как проверить версию PHP в WordPress
Войдите в панель WordPress с правами администратора и откройте:
Инструменты → Здоровье сайта → Информация → Сервер → Версия PHP.
Скопируйте полный номер версии и передайте его хостингу или администратору. Если сайтов несколько, проверьте каждый отдельно.
- PHP 8.1 или ниже. Эти ветки больше не получают официальные исправления от команды PHP. Согласуйте переход на поддерживаемую ветку, предварительно проверив совместимость.
- PHP 8.2, 8.3, 8.4 или 8.5. На дату новости эти ветки поддерживаются. Но наличие такого номера ещё не подтверждает установку нужного исправления. Уточните статус у хостинга или администратора.
Раздел «Здоровье сайта» помогает узнать конфигурацию, но не проверяет установку исправлений именно этих уязвимостей. Отсутствие предупреждений и нормальная работа сайта не означают, что дополнительных действий не требуется.
Что сделать перед обновлением и после него
Перед сменой ветки PHP подготовьте резервную копию WordPress. После обновления проверьте:
- Открываются ли страницы сайта и работает ли вход в панель управления.
- Загружаются ли изображения и документы.
- Отправляется ли тестовая заявка и приходит ли она получателю. Форму с вложением проверьте отдельно.
- Работают ли корзина и оформление заказа, если у вас интернет-магазин. Оплату проверяйте в тестовом или заранее согласованном сценарии.
Если после установки исправлений ограничения остаются, уточните у хостинга, когда их снимут. Если проблема связана с самим сайтом, нужна отдельная проверка формы заявки или другой неисправной функции.
Если нужна помощь с WordPress
Пришлите адрес сайта, полную версию PHP и уведомление хостинга. Помогу разобраться в ситуации, проверить совместимость и согласовать необходимые работы по сайту. Подробнее об обслуживании WordPress или напишите мне, если нужна помощь с конкретной задачей.
