Что подтверждено источником
PHP опубликовал бюллетени CVE-2026-109618 и CVE-2026-109619 о проблемах обработки запросов. При определённых условиях они могут привести к удалённому выполнению кода. Разработчики выпустили исправления; применимость зависит от пакета, конфигурации и условий использования.
PHP security advisory: CVE-2026-109618
PHP security advisory: CVE-2026-109619
Далее — редакционный разбор и практические рекомендации Virusologia.
Проблема: версия в терминале — не весь парк
Веб-сайт, фоновые задания, контейнеры и панели управления могут использовать разные сборки PHP. Версия php в командной строке не доказывает версию PHP-FPM или контейнера, обслуживающего сайт. Учитывайте окружения staging и сторонние продукты.
Решение: сверка с поставщиком
Составьте список компонентов и владельцев, определите фактическую публикацию в интернет и сверьте пакеты с обоими бюллетенями PHP и рекомендациями вашего дистрибутива. Дистрибутив может перенести исправление в пакет со старым номером версии: сверяйте security advisory, а не только строку php -v.
После обновления: проверка и расследование
Убедитесь, что обновлён нужный runtime, перезапущены необходимые процессы и приложение работает; сохраните результаты и повторите проверку. Если возможна эксплуатация до исправления, сохраните журналы и расследуйте признаки компрометации. Сам патч не доказывает отсутствие прежнего доступа.
Первичная локальная инвентаризация
php -v
# Дополнительно проверьте версии работающих PHP-FPM, контейнеров и пакетов.