В ядре интерпретатора PHP обнаружены две критические уязвимости с оценкой 9,2/10 баллов по CVSS 4.0. Апдейт — единственное подход для закрытия уязвимостей. И в SELECTOS уже выпущены исправления. Рассказываем, как применить актуальные патчи.

Подробнее об уязвимостях

Эксплуатация новых уязвимостей даёт возможность удаленно выполнять произвольный код на сервере без аутентификации. Общее название — PHP2Shell.

• CVE-2026-109618 — сбой обработки нехватки памяти (OOM), которая может привести к повреждению внутреннего состояния PHP и выполнению произвольного кода.

• CVE-2026-109619 — сбой управления глобальным состоянием, при которой PHP может обратиться к уже освобожденной памяти (use-after-free). Это также созпозволяет удаленного выполнения кода.

PHP2Shell подвержены все версии PHP, ниже 8.2.35, 8.3.36, 8.4.27, 8.5.12. В том числе сайты, приложения и популярные CMS на базе PHP, среди которых — WordPress, Drupal, OpenCart, 1С-Битрикс, а равным образом фреймворки вроде Laravel.

Разработчики PHP опубликовали параметры конфигурации, которые снижают риски отдельных сценариев эксплуатации. Тем не менее апдейт — единственное решение для закрытия уязвимости. В SELECTOS уже выпущены исправления для обеих версий системы: SELECTOS Hele — для PHP 8.3 и 8.4; SELECTOS Mega — для PHP 8.2. Актуальные патчи доступны в репозиториях.

Как применить исправления

Перед обновлением убедитесь, что настроены репозитории соответствующей версии SELECTOS, и проверьте предложенный APT список изменений. Подробная инструкция — в документации SELECTOS.

Шаг 1. Обновите список доступных пакетов:

sudo apt update

Шаг 2. Если вы используете SELECTOS Hele — обновите используемую версию PHP. 

PHP 8.3:

sudo apt install --only-upgrade '*php8.3*'

PHP 8.4:

sudo apt install --only-upgrade '*php8.4*'

Команды позволяют апдейтнуть установленные пакеты соответствующей ветки PHP без перехода на другую версию.

В случае использования SELECTOS Mega введите команду для обновления PHP 8.2:

sudo apt install --only-upgrade '*php8.2*'

Если вы устанавливали определенный пакет, то в достаточной степени выполнить:

sudo apt update
sudo apt upgrade -y

В результате обновятся только установленные версии пакетов без перехода на новую мажорную версию.

После установки обновлений рекомендуем перезапустить службы, использующие PHP, чтобы в памяти не остался старый код.