1 минута
«CVE-2026-109618 и CVE-2026-109619? Похоже на номера разрешений на строительство», — заметил Самсон Ярдов, пробегая глазами рассылку от хостинга между звонком поставщику бетона и совещанием по смете. Два длинных номера, пара непонятных аббревиатур. Рутина, решил он, и отложил письмо в сторону.
Технический специалист, заглянув через плечо, вернул письмо на экран: «Это не разрешения. Это две критические уязвимости в самом PHP, оценка 9,2 из 10. По вашей шкале — не царапина на обоях, а трещина в несущей стене. И ключи от этой стены уже ищут все, кому не лень». Самсон перечитал письмо ещё раз, уже внимательно, и задал единственный вопрос, который имеет значение в таких случаях: «Когда обновляемся?» — «Сегодня». — «Тогда начинайте».
Если коротко: 21 октября вышли экстренные обновления PHP, закрывающие две уязвимости, которые позволяют удалённо выполнить произвольный код на сервере без авторизации. К WordPress, плагинам и темам это отношения не имеет: дыра сидит в самом PHP. Лечится обновлением PHP до исправленной версии, и чем быстрее, тем лучше. Ниже — что произошло, какие версии безопасны и как обновиться пошагово.