--- title: "Червоний код для половини інтернету: екстрені патчі PHP закривають критичні RCE-вразливості" description: "21 жовтня 2026 року команда PHP екстрено випустила патчі проти двох критичних RCE-вразливостей (CVE-2026-109618 та CVE-2026-109619), деталі яких витекли до релізу. Експлойт уже експлуатується в мережі." date: 2026-10-21T15:19:11.674Z lang: uk url: https://xab.info/uk/posts/php-rce-krytychni-vrazlyvosti-ekstrenyj-patch tags: [php, cybersecurity, rce-vulnerability, web-security, cloudflare] author: "Олександр Буран, Роман В." publisher: "XAB.info" --- # Червоний код для половини інтернету: екстрені патчі PHP закривають критичні RCE-вразливості ![Екстрене оновлення безпеки PHP для закриття критичних вразливостей](https://xab.info/media/2026/10/21/php-rce-critical-vulnerability-emergency-patch/php-rce-critical-vulnerability-emergency-patch-1.webp) ## Ключові тези - Команда PHP екстрено випустила патчі проти двох критичних RCE-вразливостей з оцінкою CVSS 9.2. - Витік деталей експлойта до релізу призвів до масових спроб зламу, які фіксують сканери. - Безпечні релізи: PHP 8.5.12, 8.4.27, 8.3.36, 8.2.35; для версій 8.1 і нижче патчі не передбачені. ### Що сталося 21 жовтня 2026 року команда PHP випустила екстрене оновлення безпеки. Причина — витік деталей двох критичних вразливостей, CVE-2026-109618 та CVE-2026-109619, напередодні запланованого релізу. Обидві отримали оцінку 9.2 з 10 за шкалою CVSS. ### Суть загрози Це класичний Unauthenticated Remote Code Execution: для атаки не потрібні паролі, куки чи права адміністратора. Достатньо надіслати спеціально сформований запит, щоб виконати довільний скрипт, розгорнути шел, майнер або злити базу даних. ### Хто в зоні ризику Під ударом усі інсталяції PHP, що обробляють вебзапити: зв'язки з Apache (mod_php), PHP-FPM, php-cgi, LiteSpeed та FrankenPHP. Потенційний масштаб охоплює від блогів на WordPress до великих e-commerce проєктів. ### Експлойт уже в мережі За даними аналітиків Cloudflare, вразливість уже експлуатується «в дикій природі», а в даркнеті поширюються автоматизовані скрипти масового сканування. Вікна на спокійне тестування апдейтів більше немає. ### Що робити зараз Необхідно негайно оновитися до безпечних релизів: PHP 8.5.12, 8.4.27, 8.3.36 та 8.2.35. Власникам застарілих версій (PHP 8.1 і нижче), для яких патчі не передбачені, доведеться екстрено оновлювати стек або закривати додатки суворими правилами WAF на рівні CDN до завершення міграції. ## Перевірка фактів і джерела - [Ручное создание украшений ручной работы в ремесленной мастерской - Сток картинки...](https://www.istockphoto.com/ru/%D1%84%D0%BE%D1%82%D0%BE/%D1%80%D1%83%D1%87%D0%BD%D0%BE%D0%B5-%D1%81%D0%BE%D0%B7%D0%B4%D0%B0%D0%BD%D0%B8%D0%B5-%D1%83%D0%BA%D1%80%D0%B0%D1%88%D0%B5%D0%BD%D0%B8%D0%B9-%D1%80%D1%83%D1%87%D0%BD%D0%BE%D0%B9-%D1%80%D0%B0%D0%B1%D0%BE%D1%82%D1%8B-%D0%B2-%D1%80%D0%B5%D0%BC%D0%B5%D1%81%D0%BB%D0%B5%D0%BD%D0%BD%D0%BE%D0%B9-%D0%BC%D0%B0%D1%81%D1%82%D0%B5%D1%80%D1%81%D0%BA%D0%BE%D0%B9-gm2205737329-623110976) - Сток-зображення, не містить інформації про вразливості PHP. - [Рабочим является производство динамиков и громкоговорителей на заводе. Ручное создание ...](https://www.istockphoto.com/ru/%D1%84%D0%BE%D1%82%D0%BE/%D1%80%D0%B0%D0%B1%D0%BE%D1%87%D0%B8%D0%BC-%D1%8F%D0%B2%D0%BB%D1%8F%D0%B5%D1%82%D1%81%D1%8F-%D0%BF%D1%80%D0%BE%D0%B8%D0%B7%D0%B2%D0%BE%D0%B4%D1%81%D1%82%D0%B2%D0%BE-%D0%B4%D0%B8%D0%BD%D0%B0%D0%BC%D0%B8%D0%BA%D0%BE%D0%B2-%D0%B8-%D0%B3%D1%80%D0%BE%D0%BC%D0%BA%D0%BE%D0%B3%D0%BE%D0%B2%D0%BE%D1%80%D0%B8%D1%82%D0%B5%D0%BB%D0%B5%D0%B9-%D0%BD%D0%B0-%D0%B7%D0%B0%D0%B2%D0%BE%D0%B4%D0%B5-%D1%80%D1%83%D1%87%D0%BD%D0%BE%D0%B5-%D1%81%D0%BE%D0%B7%D0%B4%D0%B0%D0%BD%D0%B8%D0%B5-gm1388741372-446283498) - Сток-зображення, не містить інформації про вразливості PHP. ## Часті запитання ### Які версії PHP закрили вразливості? Безпечними оголошено релізи PHP 8.5.12, 8.4.27, 8.3.36 та 8.2.35. ### Що робити власникам PHP 8.1 і нижче? Для цих версій патчі не передбачені: необхідно екстрено оновлювати стек або закривати додатки суворими правилами WAF на рівні CDN до завершення міграції. ### Наскільки небезпечні ці вразливості? Обидві отримали оцінку 9.2 з 10 за шкалою CVSS і дозволяють виконати довільний код без автентифікації.