3win 
Тендеры и лиды
Информация
Вчера, 21 октября, на всех свалилась новость о критических уязвимостях PHP — технологии, на которой работает огромное количество сайтов, в том числе и наших. PHP лежит в основе очень большой части интернет-решений. И вот выясняется, что определённые ошибки в этой технологии при некоторых условиях позволяют злоумышленнику выполнять команды на вашем сервере без предварительной авторизации!
А это уже не просто техническая ошибка. Под угрозой могут оказаться файлы сайта и персональные данные ваших клиентов. Но самое неприятное — вас можно красиво подставить: получить доступ к сайту и разместить на нём запрещённый контент. А за такое в нашей стране предусмотрены разные меры ответственности, вплоть до уголовной. Даже если вы сами ничего не размещали, объясняться и разбираться в ситуации, скорее всего, придётся именно вам.
## Почему сейчас всё стало серьёзнее?
Раньше эксплуатация сложных уязвимостей нередко требовала инженерного образования, хороших навыков программирования и понимания сетевых технологий. Сегодня искусственный интеллект заметно снизил этот порог. Злоумышленнику уже не обязательно быть опытным инженером: ИИ может помочь разобраться в инструментах, написать скрипт и автоматизировать часть действий. Конечно, это не делает каждого новичка профессиональным хакером, но технический барьер стал значительно ниже.
В результате подготовка атак может обходиться дешевле, а круг людей, способных ими заниматься, расширяется. Поэтому есть основания ожидать роста количества подобных попыток. И рассчитывать на то, что ваш небольшой сайт никому не интересен, становится всё опаснее.
Именно поэтому мы в 3win не стали ждать. Все наши активные клиенты, чьи сайты затрагивала эта проблема, уже получили необходимые исправления. Владельцев давно заброшенных проектов мы уведомили: если сайт на наших платформах остаётся критически уязвимым, мы будем вынуждены временно отключить его до согласования дальнейших действий. Это не наказание и не попытка продать дополнительные услуги. Это мера, позволяющая снизить риск для владельца сайта и окружающей инфраструктуры.
## Почему нельзя просто обновить PHP?
PHP — это язык программирования, на котором работает множество сайтов, интернет-магазинов и корпоративных порталов. 21 октября 2026 года были объявлены обновления безопасности для двух критических уязвимостей: CVE-2026-109618 и CVE-2026-109619.
При определённых условиях эти ошибки позволяют злоумышленнику выполнять команды на сервере. Это может привести к изменению файлов сайта, доступу к данным приложения и другим неприятным последствиям.
Но есть проблема: сайты бывают разными. Одни созданы недавно, другие работают годами без обновлений. У нас есть клиентские проекты, которые до сих пор используют PHP 5 — очень старую версию языка.
Просто переключить такой сайт на современный PHP — не всегда возможно. Старый код, модули и интеграции могут оказаться несовместимыми. В результате вместо решения проблемы сайт перестанет работать.
Поэтому одним проектам достаточно установить исправление, другим потребуется доработка кода, а третьи придётся фактически пересобирать. Мы оказываем такие услуги, но сначала нужно оценить состояние проекта и выбрать разумную стратегию.
## Какие версии PHP исправлены?
В опубликованном уведомлении указаны следующие версии с исправлениями:
| Ветка PHP | Версия с исправлениями |
| PHP 8.5 | 8.5.12 |
| PHP 8.4 | 8.4.27 |
| PHP 8.3 | 8.3.36 |
| PHP 8.2 | 8.2.35 |
Если сайт работает на PHP 8.1 или более старой версии, необходимо проверить наличие исправления от поставщика CMS или хостинга. Если его нет для вашей версии, нужно планировать переход на поддерживаемую версию.
Есть нюанс: поставщики иногда устанавливают исправления, не меняя основной номер PHP. Поэтому одной цифры в панели управления недостаточно — нужно проверить конкретную сборку и убедиться, что исправление действительно установлено.
## Что делать владельцу сайта?
Для начала выясните три вещи:
1. Какая версия PHP используется вашим сайтом?
2. Кто отвечает за её обновление — хостинг или техническая команда?
3. Установлено ли исправление и нет ли признаков подозрительной активности?
Если сайт размещён на виртуальном хостинге, обратитесь в поддержку и попросите подтвердить установку исправлений для CVE-2026-109618 и CVE-2026-109619.
Если у вас VPS, VDS или собственный сервер, нужно проверить все установки PHP. На одном сервере могут одновременно работать разные версии, поэтому обновление только одной из них не решает проблему полностью. После установки исправлений могут потребоваться перезапуск PHP-FPM или Apache либо повторное развёртывание контейнеров.
Не переключайте версию PHP наугад. Сначала сделайте резервную копию файлов и базы данных, проверьте совместимость сайта, а после обновления протестируйте основные функции.
Если сайт давно не обновлялся, не знаете его версию PHP или получили от нас уведомление об отключении, просто свяжитесь с нами. Разберёмся, что можно сделать без серьёзных изменений, а где потребуется модернизация.
## А если сайт уже взломали?
Установка исправления не гарантирует, что злоумышленник не успел воспользоваться уязвимостью раньше.
Неизвестные файлы, новые администраторы, подозрительные перенаправления, необычная нагрузка и странные записи в журналах могут указывать на компрометацию. В таком случае нужно проверить сервер, сохранить журналы и другие свидетельства, ограничить доступ злоумышленника и при необходимости восстановить сайт из чистой резервной копии.
Если есть признаки взлома, не ограничивайтесь обновлением PHP. Само исправление не удалит вредоносный код, который уже мог попасть на сервер.
И не обязательно немедленно выключать любой сайт с уязвимой версией. Решение зависит от конкретной ситуации. Но если быстро устранить проблему нельзя, нужно оценить возможность временно ограничить публичный доступ.
## Служба цифровой заботы 3win: когда не нужно разбираться во всём самому
Вот здесь я хочу обратить ваше внимание на одну важную вещь.
Владелец бизнеса не обязан разбираться в PHP, настройках сервера, сетевой безопасности, резервном копировании и десятках других технических вопросов. У него есть свой бизнес, сотрудники, клиенты и задачи. Но цифровые проблемы всё равно возникают — и часто в самый неподходящий момент.
Для этого мы создали Службу цифровой заботы 3win. Это новый подход к технической поддержке: не нужно каждый раз искать отдельного специалиста и выяснять, к кому обращаться с очередной проблемой. Вы обращаетесь к нам, а мы разбираемся, что произошло и как это решить.
Сломался сайт? Нужно обновить сервер? Не работает почта? Возникли проблемы с доступами, интеграциями, безопасностью или программным обеспечением? Обращайтесь. Мы определим задачу и предложим решение.
Служба цифровой заботы — это не только реакция на поломки. Мы можем помогать поддерживать ваши цифровые системы в порядке, следить за обновлениями, заниматься профилактикой и заранее обращать внимание на риски.
При этом необязательно оформлять постоянное обслуживание, если оно вам не нужно. Можно пользоваться службой на регулярной основе или обращаться по мере необходимости, от случая к случаю. Формат взаимодействия зависит от ваших задач.
По сути, это ваш единый технический помощник по цифровым вопросам. Вам не нужно заранее знать, какая именно технология дала сбой и какой специалист требуется. Достаточно описать проблему — остальное мы возьмём на себя в рамках согласованных работ.
Если вы давно откладывали обновление сайта, не знаете, насколько безопасен ваш сервер, или просто хотите иметь команду, к которой можно обратиться с любой цифровой проблемой, расскажите нам о своей ситуации. Вместе определим, что нужно сделать сейчас и как избежать подобных проблем в будущем.
## Главное
Ситуация с уязвимостями PHP — ещё одно напоминание о том, что цифровая инфраструктура требует внимания. Искусственный интеллект упрощает работу не только разработчикам, но и потенциальным злоумышленникам. Поэтому цена бездействия может расти.
Мы уже установили необходимые исправления для активных клиентов, которых затрагивала эта проблема. По старым и уязвимым проектам мы связываемся с владельцами и согласуем дальнейшие действия. Если безопасно оставить сайт в работе невозможно, временно отключаем его до решения вопроса.
Если вы получили от нас уведомление, не откладывайте связь с командой 3win. Обсудим обновление PHP, модернизацию или пересборку сайта.
А если вам нужна не разовая помощь, а команда, которая будет решать ваши цифровые вопросы по мере их появления, обратите внимание на Службу цифровой заботы 3win. Можно обратиться с конкретной проблемой сегодня, а можно выстроить постоянное сопровождение на будущее.
Необязательно становиться техническим специалистом, чтобы безопасно пользоваться технологиями. Важно знать, к кому обратиться, когда что-то пошло не так.
## Официальные источники
- PHP.net — архив релизов и уведомление безопасности за октябрь 2026 года: https://www.php.net/archive/2026.php
- Google Cloud — рекомендации по уязвимостям CVE-2026-109618 и CVE-2026-109619: https://cloud.google.com/blog/products/identity-security/responding-to-core-php-vulnerabilities-cve-2026-109618-cve-2026-109619
- CERT-EU — предупреждение о критических уязвимостях PHP: https://cert.europa.eu/publications/security-advisories/2026-018
