Власникам сайтів на WordPress, Joomla, Drupal та інших платформах, що працюють на PHP, варто уважно поставитися до свіжого попередження експертів з кібербезпеки. У популярній мові програмування знайшли одразу дві критичні пробоїни. Через них зловмисники потенційно можуть дістатися до серверів, витягнути звідти дані або влаштувати хаос на сайтах.
Про загрозу першою гучно заявила європейська команда реагування на комп’ютерні інциденти CERT-EU. Ситуація справді гостра: тим ресурсам, які не зможуть захиститися оперативно, радять узагалі тимчасово прикрити доступ з інтернету. Команда PHP уже готує патчі, але чекати біля моря погоди – не найкраща ідея.
Що відомо про нові вразливості
Дві свіжі проблеми зафіксували під номерами CVE-2026-109618 та CVE-2026-109619. Обидві отримали оцінку 9,2 із 10 за шкалою CVSS 4.0 – показник говорить сам за себе.
За даними CERT-EU, ці вразливості дозволяють виконувати віддалений шкідливий код без жодної авторизації. Тобто хакеру не потрібен логін чи пароль адміністратора, щоб спробувати прокрутити свої команди на сервері.
Технічних деталей розробники поки не викатують, та й повного списку вразливих збірок ще немає. Попередньо під ударом можуть опинитися ледь не всі версії, починаючи з PHP 5. Звісно, це не означає, що кожен другий сайт уже зламали – реальні ризики сильно залежать від конфігурації. Але масштаб такий, що перевіряти доведеться всім.
Яким сайтам побоюватися насамперед
PHP крутиться на сервері й тягне на собі весь базовий функціонал: від обробки форм і авторизації до зв’язку з базами даних. На ній тримається більшість вебу, включно з гігантами на WordPress, Joomla, Drupal та Magento. Тож попередження стосується і великих медіа, і звичайних корпоративних сайтів чи крихітних інтернет-магазинів.
Особлива зона ризику – старі проекти, до яких роками ніхто не зазирав. Можна до посиніння оновлювати плагіни в тій же WordPress, але при цьому крутити застарілу версію PHP на самому сервері. Це різні речі, і апдейт движка тут не врятує.
Чим це загрожує на практиці
Найнеприємніше – це ризик виконання стороннього коду. Якщо атаку пропустять, наслідки виявляться набагато серйознішими за банальне падіння сайту.
Зловмисник може підправити вміст сторінок, злити базу даних або розкинути по серверу шели. Для магазину це пряма дорога до витоку клієнтських даних, для компанії – компрометація внутрішніх документів. А в найгіршому сценарії під удар потрапить уся серверна інфраструктура. До речі, фахівці Cloudflare та Huntress уже помітили перші дзвіночки та спроби сканування, тому розслаблятися точно зарано.
Коли чекати на рішення та що робити
Команда PHP готує оновлення вже на 21 жовтня 2026 року. Утім, сама поява патчів проблему автоматично не вирішить – за загрозою доведеться стежити й надалі, адже будь-яка неоновлена система залишається під ударом.
Окремий головний біль – старі версії PHP, підтримка яких давно скінчилася. Для них оновлень безпеки вже не буде, тож доведеться планувати перехід на актуальні версії.
З чого почати перевірку:
- З’ясуйте версію PHP. Усе просто, якщо у вас звичайна панель на кшталт cPanel чи Plesk. На VPS доведеться дивитися через консоль або питати хостера.
- Зробіть бекапи. Перед будь-якими змінами обов’язково збережіть і файли, і базу. Старий код на новому PHP може повести себе непередбачувано.
- Слідкуйте за логами. Поки патчів немає, моніторте підозрілі запити і перевірте, чи робочі ваші резервні копії.
- Подумайте про ізоляцію. Якщо оновитися миттєво не виходить, а ризики високі, інколи простіше тимчасово закрити доступ до критичних розділів, ніж потім розгрібати наслідки зламу.
Залишити відповідь