В ядре интерпретатора PHP обнаружены две критические уязвимости с оценкой 9,2/10 баллов по CVSS 4.0. Обновление — единственное решение для закрытия уязвимостей. И в SELECTOS уже выпущены исправления. Рассказываем, как применить актуальные патчи.
Подробнее об уязвимостях
Эксплуатация новых уязвимостей позволяет удаленно выполнять произвольный код на сервере без аутентификации. Общее название — PHP2Shell.
-
CVE-2026-109618 — ошибка обработки нехватки памяти (OOM), которая может привести к повреждению внутреннего состояния PHP и выполнению произвольного кода.
-
CVE-2026-109619 — ошибка управления глобальным состоянием, при которой PHP может обратиться к уже освобожденной памяти (use-after-free). Это также создает возможность удаленного выполнения кода.
PHP2Shell подвержены все версии PHP, ниже 8.2.35, 8.3.36, 8.4.27, 8.5.12. В том числе сайты, приложения и популярные CMS на базе PHP, среди которых — WordPress, Drupal, OpenCart, 1С-Битрикс, а также фреймворки вроде Laravel.
Разработчики PHP опубликовали параметры конфигурации, которые снижают риски отдельных сценариев эксплуатации. Однако обновление — единственное решение для закрытия уязвимости. В SELECTOS уже выпущены исправления для обеих версий системы: SELECTOS Hele — для PHP 8.3 и 8.4; SELECTOS Mega — для PHP 8.2. Актуальные патчи доступны в репозиториях.
Как применить исправления
Перед обновлением убедитесь, что настроены репозитории соответствующей версии SELECTOS, и проверьте предложенный APT список изменений. Подробная инструкция — в документации SELECTOS.
Шаг 1. Обновите список доступных пакетов:
sudo apt updateШаг 2. Если вы используете SELECTOS Hele — обновите используемую версию PHP.
PHP 8.3:
sudo apt install --only-upgrade '*php8.3*'PHP 8.4:
sudo apt install --only-upgrade '*php8.4*'Команды позволяют обновить установленные пакеты соответствующей ветки PHP без перехода на другую версию.
В случае использования SELECTOS Mega введите команду для обновления PHP 8.2:
sudo apt install --only-upgrade '*php8.2*'Если вы устанавливали определенный пакет, то достаточно выполнить:
sudo apt updatesudo apt upgrade -yВ результате обновятся только установленные версии пакетов без перехода на новую мажорную версию.
После установки обновлений рекомендуем перезапустить службы, использующие PHP, чтобы в памяти не остался старый код.
Источник: habr.com