Две критични уязвимости в PHP (CVE-2026-109618 и CVE-2026-109619) – проверете версията на вашия сайт!

21 октомври 2026 г. | Важно съобщение за сигурността

На 21 октомври 2026 г. екипът на PHP публикува извънредни актуализации за сигурност, които отстраняват две критични уязвимости:

• CVE-2026-109618

• CVE-2026-109619

И двете уязвимости са оценени с 9.2 от 10 по CVSS v4.0, което ги поставя в категорията „Критични“.

Тези уязвимости могат да позволят на неавтентикирани злонамерени лица да изпълняват код от разстояние (Remote Code Execution – RCE) върху уязвими сървъри.

Добрата новина е, че DirectAdmin обяви допълнителни поправки за PHP 7.4, 8.0 и 8.1, въпреки че тези версии вече не се поддържат официално от екипа на PHP.

В тази статия ще разгледаме кои версии получават актуализации, каква допълнителна защита използваме на нашите хостинг сървъри и какво препоръчваме на клиентите си.

Какво представляват CVE-2026-109618 и CVE-2026-109619?

CVE-2026-109618 и CVE-2026-109619 са две критични уязвимости в PHP, които могат да създадат сериозен риск за сигурността на уебсайтовете и сървърите.

И двете са оценени с 9.2/10 по CVSS v4.0.

Потенциалното изпълнение на код от разстояние е особено опасно, тъй като може да доведе до компрометиране на приложения, достъп до чувствителна информация и други последствия в зависимост от конфигурацията на засегнатата система.

Уязвимостите са от значение за сайтове, използващи PHP, включително:

• WordPress и WooCommerce

• Joomla и Drupal

• PrestaShop, OpenCart и Magento

• Laravel и други PHP приложения

Важно е да се знае, че актуализирането на WordPress, Joomla или друга система не замества актуализирането на самия PHP.

Кои версии на PHP получават поправки?

Официалният екип на PHP публикува поправки за поддържаните версии PHP 8.2, 8.3, 8.4 и 8.5.

В допълнение DirectAdmin обяви нова актуализация в каналите current и stable, която включва поправки за PHP 7.4, 8.0 и 8.1.

Кои са официалните актуализирани версии?

На 21 октомври 2026 г. бяха публикувани следните официални версии на PHP:

• PHP 8.5.12

• PHP 8.4.27

• PHP 8.3.36

• PHP 8.2.35

Тези версии съдържат поправки за двете критични уязвимости.

За PHP 7.4, 8.0 и 8.1 DirectAdmin предоставя допълнителни поправки чрез своята система за изграждане и актуализиране на PHP.

Важно: Наличието на поправка не означава автоматично, че тя вече е инсталирана на всеки сървър. Необходимо е съответната актуализация да бъде приложена от администратора на хостинг системата.

Защо DirectAdmin предоставя поправки за стари PHP версии?

Много уебсайтове все още използват PHP 7.4, 8.0 или 8.1 поради съвместимост със стари приложения, теми или разширения.

Официалната поддръжка на тези PHP версии вече е прекратена.

Въпреки това DirectAdmin предоставя допълнителни поправки за конкретните критични уязвимости, като по този начин дава възможност на администраторите да защитят и част от по-старите PHP среди.

Това е особено полезно за клиенти, които не могат веднага да преминат към нова PHP версия.

Но има една много важна подробност:

Допълнителната поправка за конкретна уязвимост не означава, че старата PHP версия отново е официално поддържана.

Затова препоръчваме преминаване към PHP 8.4 или PHP 8.5 възможно най-скоро, когато съвместимостта на сайта го позволява.

Как защитаваме сайтовете на нашите клиенти?

Сигурността е основен приоритет за нашата хостинг инфраструктура.

Освен наличните PHP поправки, използваме cPGuard – специализирано решение за сигурност на хостинг сървъри.

cPGuard предоставя допълнителни защитни механизми, включително:

Web Application Firewall (WAF)

Филтриране на подозрителни и потенциално злонамерени заявки към уеб приложенията.

Защита срещу уеб атаки

Ограничаване на определени опити за експлоатиране на уязвимости и други злонамерени действия.

Сканиране за зловреден софтуер

Откриване на подозрителни файлове и потенциално опасен код в хостваните приложения.

Тези механизми предоставят допълнителен слой защита, който помага за намаляване на риска от кибератаки.

Важно е обаче да подчертаем, че cPGuard не замества официалните PHP актуализации и не гарантира пълна защита срещу CVE-2026-109618 и CVE-2026-109619.

Инсталирането на съответните поправки остава необходимо.

Какво трябва да направите като клиент?

Използвате PHP 8.2, 8.3, 8.4 или 8.5?

За вашата PHP версия е налична официална актуализация за сигурност.

Уверете се, че на хостинг сървъра е инсталирана актуализираната версия.

Имайте предвид, че поддръжката на PHP 8.2 приключва на 31 декември 2026 г., затова препоръчваме да планирате преминаване към по-нова версия.

Използвате PHP 7.4, 8.0 или 8.1?

DirectAdmin е предоставил допълнителни поправки за тези версии.

Това намалява необходимостта от прибързана промяна на PHP версията без предварителни тестове, при условие че поправките са приложени на вашия сървър.

Въпреки това препоръчваме да преминете към PHP 8.4 или 8.5 възможно най-скоро, тъй като старите версии не получават редовна официална поддръжка.

Използвате PHP 7.3 или по-стара версия?

Препоръчваме спешно преминаване към поддържана PHP версия.

DirectAdmin не е обявил съответни поправки за тези по-стари версии.

Как да обновите PHP версията на сайта си?

Ако използвате хостинг с DirectAdmin, обикновено можете да изберете PHP версията от контролния панел чрез функцията за избор на PHP версия, когато тя е активирана за вашия акаунт.

Преди обновяването препоръчваме:

1. Направете резервно копие на сайта и базата данни.

2. Актуализирайте WordPress, Joomla или другата използвана система.

3. Актуализирайте темите и разширенията.

4. Проверете съвместимостта с PHP 8.4 или PHP 8.5.

5. Променете версията на PHP.

6. Тествайте основните функции на сайта.

Ако не сте сигурни коя PHP версия използвате, можете да се свържете с нашия екип за техническа поддръжка.