21 октября 2026 года появились сообщения о двух критических уязвимостях в PHP — CVE-2026-109618 и CVE-2026-109619. По опубликованным данным, недостатки могут позволить злоумышленнику удалённо выполнить код на сервере. Для атаки, согласно этим сообщениям, не требуется предварительно входить в административную панель сайта.
Уязвимостям присвоена оценка 9,2 из 10 по шкале CVSS. Это критический уровень риска: если сервер использует уязвимую версию PHP и подходящие условия для эксплуатации соблюдены, атакующий может попытаться получить доступ к системе, данным и управлению сайтом.
Для владельца бизнеса важно понимать: вопрос не только в том, «откроется ли сайт». Взлом может привести к утечке персональных данных, остановке сайта и потере контроля над сервером. Поэтому проверить нужно не только CMS, но и версию PHP, настройки хостинга, резервные копии и порядок обновления проекта.
Что означает удалённое выполнение кода
RCE — Remote Code Execution, или удалённое выполнение кода. Это класс уязвимостей, который в некоторых сценариях позволяет атакующему заставить сервер выполнить нежелательные команды через сеть.
В зависимости от конфигурации сервера и самого сайта последствия могут включать:
- изменение страниц и размещение вредоносного контента;
- кражу данных из базы, файлов и конфигураций;
- создание скрытых учётных записей или дальнейшее закрепление в системе;
- рассылку спама и использование сервера для атак на другие ресурсы;
- блокировку сайта, удаление или шифрование файлов;
- доступ к другим проектам, размещённым на том же сервере.
Наличие уязвимости не означает, что каждый сайт уже взломан. Но если для используемой версии PHP опубликовано исправление, откладывать обновление опасно: сведения о проблеме становятся доступны всё большему числу специалистов и злоумышленников, а попытки массового сканирования могут начаться быстро.
В сообщениях об инциденте говорится о случаях эксплуатации и о том, что некоторые организации временно ограничивали доступ к веб-ресурсам. Также сообщалось о продолжении обновления сайтов в Китае. Такие сведения необходимо оценивать с учётом конкретных источников: масштаб и характер атак могут отличаться для разных стран и организаций.
Почему проблема касается сайтов на разных CMS
PHP используется в серверной части множества сайтов и веб-приложений. В числе популярных систем и платформ — WordPress, Joomla, Drupal, UMI.CMS и Laravel. Поэтому уязвимость в интерпретаторе PHP может затронуть проекты на разных CMS — но не автоматически и не одинаково: значение имеют версия PHP, конфигурация сервера, код приложения и доступность уязвимого сценария.
Отдельный риск — сайты на устаревших и неподдерживаемых версиях CMS. Если система давно не обновлялась, у неё могут быть собственные известные уязвимости, несовместимость с актуальными версиями PHP и расширения, которые больше никто не поддерживает. В результате проблема может быть не одна: устаревшая CMS, старая библиотека, небезопасный плагин и незащищённый сервер способны усилить риск друг друга.
Сайты на старых версиях UMI.CMS, Joomla и Drupal особенно важно проверить. Если проект годами работает без обновлений, а его компоненты больше не получают исправления, считать такую систему безопасной нельзя. При этом сама миграция на другую CMS не заменяет обновление PHP и настройку сервера: защищённым должен быть весь стек сайта.
Почему бизнесу стоит рассмотреть перенос на 1С-Битрикс
Для некоторых проектов поддержка устаревшей CMS становится сложной и дорогой: обновления не устанавливаются, функциональность зависит от старых модулей, а разработчики вынуждены постоянно устранять накопившиеся технические проблемы. В такой ситуации разумно оценить не только очередной ремонт, но и перенос сайта на поддерживаемую платформу.
Iris Digital рекомендует рассмотреть переход на актуальную версию 1С-Битрикс, если текущая система устарела, не поддерживается или мешает развитию бизнеса. Это может упростить дальнейшее сопровождение, обновление функциональности и работу с сайтом. Однако перенос не является автоматической гарантией безопасности: после запуска необходимо своевременно обновлять CMS и PHP, следить за модулями, правами доступа и сервером.
Перед миграцией важно обследовать сайт, определить, какие данные и функции нужно сохранить, проверить интеграции и спроектировать структуру нового проекта. Простое копирование старых файлов на новую платформу обычно не решает накопленные проблемы и может перенести их в новую систему.
Как защитить сайт: план действий
1. Узнайте версию PHP.
Её можно проверить в панели хостинга или запросить у системного администратора. Убедитесь, что проверяется именно версия на рабочем сервере, а не на компьютере разработчика или тестовой площадке.
2. Сверьте версию с официальными рекомендациями.
В сообщениях об инциденте указаны такие исправленные версии: PHP 8.5.12, 8.4.27, 8.3.36 и 8.2.35. Перед обновлением проверьте актуальные сведения в официальных источниках PHP: список исправлений и поддерживаемых веток может меняться.
3. Подготовьте резервную копию и тестовую среду.
Обновление PHP может повлиять на старый сайт, плагины и интеграции. До работ сделайте резервную копию файлов и базы данных, проверьте возможность восстановления и протестируйте изменения на копии проекта.
4. Обновите CMS, модули и библиотеки.
Уязвимость PHP — лишь одна из возможных точек входа. Установите доступные обновления CMS и расширений, удалите неиспользуемые компоненты и проверьте, поддерживаются ли они разработчиками.
5. Проверьте сайт на признаки взлома.
Обновление закрывает известную уязвимость, но не удаляет вредоносные файлы, если злоумышленник уже получил доступ. Проверьте журналы сервера, учётные записи администраторов, изменения файлов и подозрительную активность.
6. Усильте защиту доступа.
Используйте сложные уникальные пароли и двухфакторную аутентификацию, ограничьте доступ к административной панели, настройте права на файлы и регулярно проверяйте резервные копии.
7. Отдельно проверьте самописную систему.
Сайты, созданные на коде небольших студий, особенно нуждаются в регулярном аудите безопасности. Для них нельзя полагаться только на обновления CMS: необходимо проверять исходный код, используемые библиотеки и интеграции, настройки сервера и права доступа. Владелец проекта должен понимать, кто отвечает за сопровождение системы, как сообщать об обнаруженных проблемах и в какие сроки устанавливаются исправления. Выявленные уязвимости следует оперативно устранять, а после обновлений — проверять сайт и контролировать журналы событий.
Сам факт, что система разработана на заказ, не делает её безопасной или небезопасной — важны качество разработки и регулярное сопровождение. Также стоит учитывать юридический нюанс: не все самописные программы обязаны проходить аккредитацию или регистрацию. Аккредитация обычно относится к IT-компании, а включение программного продукта в реестр российского ПО требуется в определённых случаях — например, для подтверждения соответствующего статуса или участия в отдельных закупках. Требования зависят от ситуации, поэтому их лучше проверять отдельно.
Чем поможет Iris Digital
Iris Digital выполняет работы по переносу сайтов на 1С-Битрикс и обновлению проектов на Битрикс. Мы можем оценить текущее состояние сайта, составить план миграции, перенести данные и функции, проверить интеграции и протестировать результат перед запуском. Также помогаем обновить Битрикс и подготовить проект к дальнейшему техническому сопровождению.
Если сайт работает на старой версии UMI.CMS, Joomla или Drupal, сначала важно определить, можно ли безопасно обновить его на текущей платформе или целесообразнее перенести проект. Решение зависит от версии системы, состояния кода, требований бизнеса и доступности нужных модулей.
Не откладывайте проверку, если не знаете, какая версия PHP установлена на сервере или когда сайт обновляли в последний раз. Чем раньше выявлены устаревшие компоненты, тем больше времени остаётся на безопасное обновление и проверку работоспособности проекта.
Коротко: что делать владельцу сайта
- проверить версию PHP, CMS и состояние самописных компонентов;
- проверить наличие официальных исправлений и оперативно закрыть выявленные уязвимости;
- сделать резервную копию и протестировать обновление;
- обновить систему, модули, библиотеки и интеграции;
- проверить журналы и признаки компрометации;
- оценить перенос сайта, если его платформа устарела или больше не поддерживается.
Для бизнеса безопасность сайта — это не разовая установка обновления, а регулярный процесс. Актуальная версия PHP, поддерживаемая CMS, контроль доступа и проверенные резервные копии снижают риск простоя, потери данных и расходов на восстановление.
