Критические уязвимости в PHP Это единственный способ полностью закрыть уязвимость. Разработчики выпустили патчи для версий: 8.5.12, 8.4.27, 8.3.36

[РУЛЕВОЙ]

Не пытайтесь «обойти» уязвимость настройками или обходными путями — разработчики PHP прямо заявляют, что полноценной замены патчу нет. Также не стоит полагаться только на антивирус: он ловит уже случившиеся инциденты, но не предотвращает эксплуатацию уязвимости


Если обновить сразу не получается
Иногда есть объективные причины (сложность совместимости, этап миграции). В таких случаях стоит принять компенсирующие меры:
Отключите потенциально опасный функционал. Например, можно отключить настройку session.upload_progress.enabled = Off. Но учтите: это не закрывает обе уязвимости полностью и не заменяет патч.
1c-bitrix.ru
Ограничьте внешний доступ. Если сервер доступен из интернета, временно ограничьте к нему доступ или полностью отключите его, пока не будет установлен патч.
cnews.ru
fontanka.ru
Усильте мониторинг. После того как патч установлен или доступ ограничен, проверьте логи: ищите подозрительную активность (процессы, которые делают то, что им не положено, запуск командных оболочек, curl, wget и т.п.). Помогут решения класса WAF (Web Application Firewall) — они могут блокировать нелегитимные запросы до того, как уязвимость будет использована

 

[РУЛЕВОЙ]

Не пытайтесь «обойти» уязвимость настройками или обходными путями — разработчики PHP прямо заявляют, что полноценной замены патчу нет. Также не стоит полагаться только на антивирус: он ловит уже случившиеся инциденты, но не предотвращает эксплуатацию уязвимости

После новостей об уязвимостях CVE-2026-109618 и CVE-2026-109619 (их ещё объединили под названием PHP2Shell) вопрос защиты действительно встал остро. Я подобрала главные шаги, которые помогут снизить риск.

Если обновить сразу не получается
Иногда есть объективные причины (сложность совместимости, этап миграции). В таких случаях стоит принять компенсирующие меры:
Отключите потенциально опасный функционал. Например, можно отключить настройку session.upload_progress.enabled = Off. Но учтите: это не закрывает обе уязвимости полностью и не заменяет патч.
1c-bitrix.ru
Ограничьте внешний доступ. Если сервер доступен из интернета, временно ограничьте к нему доступ или полностью отключите его, пока не будет установлен патч.
cnews.ru
fontanka.ru
Усильте мониторинг. После того как патч установлен или доступ ограничен, проверьте логи: ищите подозрительную активность (процессы, которые делают то, что им не положено, запуск командных оболочек, curl, wget и т.п.). Помогут решения класса WAF (Web Application Firewall) — они могут блокировать нелегитимные запросы до того, как уязвимость будет использована

После новостей об уязвимостях CVE-2026-109618 и CVE-2026-109619 (их ещё объединили под названием PHP2Shell) вопрос защиты действительно встал остро. Я подобрала главные шаги, которые помогут снизить риск.

Важное предупреждение: если у вас PHP 8.1 и старше — официальных обновлений от команды PHP для вас нет. В этом случае нужно либо запросить у вендора дистрибутива бэкпортированные исправления, либо запланировать переход на поддерживаемую версию