Командата е една: php -v. Пускаш я на сървъра и четеш числото. Ако е 8.5.12, 8.4.27, 8.3.36 или 8.2.35, или по-високо в същата линия, двете критични дупки са затворени. Ако пакетът идва от дистрибуцията ти, PHP пише, че дистрибуциите и доставчиците с дълга поддръжка са получили поправките предварително, и съветва да провериш при доставчика за обновени пакети.
Факт
Фактите: на 21 октомври 2026 г. PHP обяви, че версиите 8.5.12, 8.4.27, 8.3.36 и 8.2.35 поправят две критични уязвимости, които могат да позволят отдалечено изпълнение на код без удостоверяване. CVE-2026-109618 е при недостиг на памет: PHP може да бъде прекъснат, докато вътрешните данни на заявката са инициализирани само отчасти. CVE-2026-109619 е вътрешно състояние на заявка, което оцелява, след като паметта му е освободена. В предизвестието от 20 октомври PHP оцени и двете с CVSS v4.0 9.2. Засегнати са всички инсталации на PHP, които обслужват уеб заявки, сред тях PHP-FPM, Apache с mod_php, php-cgi, FrankenPHP и LiteSpeed; най-висок е рискът при mod_php, където PHP описва демонстрирана атака: заявка без удостоверяване може да я задейства, преди да се изпълни код на приложението. PHP пише, че пълно смекчаване няма и обновяването е единственият сигурен избор. PHP 8.1 и по-старите вече не получават обновления от проекта; за PHP 7.4, 8.0 и 8.1 екипът даде минимални бекпортове за сорса, а някои дистрибуции и доставчици с дълга поддръжка предлагат свои. PHP 8.2 достига края на живота си на 31 декември 2026 г.
Дупката е в самия PHP. Нов плъгин или поправка в твоя код не я затварят, така го пише Cloudflare. PHP казва същото по своему: пълно решение е само обновяването. Има мерки, които намаляват риска, но според PHP те не правят инсталацията безопасна.
Cloudflare пише, че двете са известни като PHP2Shell; на php.net това име го няма. От 21 октомври в 3:02 UTC клиентите ѝ с WAF са защитени по подразбиране, на всички планове, и на безплатния. По данни на Cloudflare това е около девет часа преди разкриването. Новата проверка гледа и отговора на сървъра, не само заявката.
Щитът на Cloudflare купува часове. Поправката е версията на PHP.
На 23 октомври дойде и трета, CVE-2026-115560, в проследяването на качването през сесията. PHP я нарича малко вероятен път към изпълнение на код: трябва необичайна комбинация от настройки и код на приложението. Пълния бюлетин PHP обещава със следващия редовен релийз, а дотогава съветът е session.upload_progress.enabled=0. По Cloudflare дупката засяга и напълно обновените версии, включително 8.5.12. Който е сменил session.upload_progress.name, не е покрит от правилото ѝ. Кога е следващият редовен релийз, PHP не казва.
Ако си на 8.1 или по-старо, проектът вече не пуска обновления за теб. Остават пакетите на доставчик с дълга поддръжка, минималните бекпортове за сорса (само за 7.4, 8.0 и 8.1) или преместване на по-нова линия. А ако си на 8.2, запиши си датата: на 31 декември 2026 PHP спира поправките и за него.
Официални първоизточници
PHP - Security advisory (CVE-2026-109618, CVE-2026-109619, CVE-2026-115560), 21 и 23.10.2026Cloudflare - PHP2Shell и защитата на WAF (CVE-2026-109618, CVE-2026-109619, CVE-2026-115560), 21.10.2026Визуалът към статията е генериран код-арт, без чужди изображения.