Dvi kritinės PHP spragos kelia grėsmę interneto svetainėms: ką būtina atnaujinti?

2026 m. spalio 21 d. PHP projektas paskelbė saugumo atnaujinimus, kurie ištaiso dvi kritines spragas. Jos tam tikromis sąlygomis gali leisti nuotoliniu būdu vykdyti kodą PHP serveriuose, dar prieš programai įprastai apdorojant užklausą. PHP komanda nurodo, kad didžiausia rizika nustatyta kai kuriuose `mod_php` dieginiuose, tačiau paveikti gali būti ir kiti žiniatinklio užklausas aptarnaujantys PHP variantai.

Tai nėra vien WordPress problema: PHP naudoja ir el. parduotuvės, turinio valdymo sistemos bei kitos žiniatinklio programos. WordPress.org patvirtina, kad spragos nėra būdingos WordPress ir kad atskiro WordPress branduolio atnaujinimo šiam atvejui nereikia.

Kokios tai spragos?

PHP įvardijo dvi spragas, abi įvertintas 9,2 balo pagal CVSS 4.0:

• CVE-2026-109618 susijusi su atminties trūkumo apdorojimu: dalinai paruošti vidiniai užklausos duomenys tam tikru keliu galėjo būti panaudoti kaip galiojantys.
• CVE-2026-109619 susijusi su pasenusia vidine būsena, kuri po atminties atlaisvinimo galėjo likti darbuotojo procese ir būti panaudota vėlesnei užklausai.

Šie aprašymai supaprastinti. Svetainės savininkui svarbiausia tai, kad rizika yra PHP vykdymo aplinkoje, o ne vien įskiepyje ar temoje.

Kokios PHP versijos turi pataisas?

PHP projekto pataisytos šakų versijos:

Atitinkamos šakos vėlesnė versija taip pat apima šias pataisas, tačiau tai nėra bendras pažadas, kad dieginyje nėra kitų saugumo problemų. PHP 8.1 ir senesnėms šakoms PHP projekto įprasti atnaujinimai nebeišleidžiami. Kai kurios Linux distribucijos ar ilgalaikio palaikymo tiekėjai gali pateikti atgalines pataisas, todėl reikia tikrinti būtent jūsų serverio tiekėjo paketų būseną. PHP 8.2.35 ištaiso šias spragas, bet PHP.net nurodo, kad 8.2 šakos palaikymas baigsis 2026 m. gruodžio 31 d.; verta iš anksto planuoti perėjimą į palaikomą šaką.

Ką patikrinti svetainės savininkui?

1. Sužinokite serverio PHP versiją. WordPress valdymo aplinkoje atidarykite „Įrankiai“ → „Svetainės sveikata“ → „Informacija“ → „Serveris“. Versiją dažnai rodo ir hostingo valdymo skydas.
2. Palyginkite ją su pataisyta versija. Jei valdote serverį, patikrinkite PHP tiekėjo ar Linux distribucijos saugumo pranešimą. Jei serverį valdo hostingas, paprašykite patvirtinti, kokia pataisa įdiegta.
3. Nekeiskite pagrindinės versijos aklai. Prieš atnaujinimą pasidarykite atsarginę kopiją ir patikrinkite temos, įskiepių bei individualaus kodo suderinamumą, geriausia – bandomojoje aplinkoje.
4. Po atnaujinimo patikrinkite svetainės veikimą. Peržiūrėkite prisijungimą, formas, mokėjimus ir užsakymų eigą, o serverio žurnaluose ieškokite neįprastų klaidų.

Vien WAF taisyklė ar trumpalaikė konfigūracijos priemonė nėra pilnas pataisos pakaitalas. PHP.net aiškiai nurodo, kad laikinos mitigacijos sumažina tik konkrečių atakos kelių riziką; pilnas sprendimas yra atnaujinta, palaikoma PHP versija. Jei negalite atnaujinti iš karto, veiksmus derinkite su hostingo ar serverio administratoriumi, o ne keiskite gamybinę aplinką nepatikrinę suderinamumo.

Papildomas PHP.net perspėjimas, paskelbtas spalio 23 d.

PHP.net tą pačią savaitę paskelbė ir siauresnį informacinį perspėjimą dėl sesijų įkėlimo progreso. Jis aktualus ne visoms svetainėms: rizikos sąlygai reikia neįprasto derinio, kai programa konfigūruoja `session.serialize_handler` kaip `php_binary` arba `php_serialize`, vėliau pakeičia jį į `php` su `ini_set()` prieš `session_start()`, o įkėlimo progreso funkcija lieka įjungta.

PHP komanda siūlo tokiu atveju laikinai nustatyti `session.upload_progress.enabled=0` iki kito įprasto pataisų leidimo. Jei programoje serializer tvarkyklė runtime nekeičiama, PHP.net nurodo, kad šią funkciją galima palikti įjungtą. Todėl šio pranešimo nereikėtų paversti universalia instrukcija visiems svetainių savininkams.

Ar pakanka atnaujinti WordPress?

Ne. WordPress, įskiepių ir temų atnaujinimai yra svarbūs, bet šiuo atveju spragos taisomos PHP aplinkoje. Paprašykite hostingo tiekėjo patikrinti serverio PHP paketą arba, jei jį valdote patys, atnaujinkite PHP pagal savo tiekėjo nurodymus. WordPress.org taip pat rekomenduoja tikrinti versiją ir hostingo pateiktas pataisas.

Jei kuriate ar pertvarkote verslo svetainę, planuokite ne tik jos paleidimą, bet ir aiškią atsarginių kopijų, suderinamumo patikros bei saugumo atnaujinimų tvarką. Daugiau apie patį svetainės kūrimo procesą rasite ROILEAKAI svetainių kūrimo puslapyje; šis puslapis nėra PHP saugumo pataisų pakaitalas.