21 октября мы временно отключили наши сайты, пока не обновили PHP. Решение приняли за десять минут до выхода исправлений: в 16:50 по Москве сайты уже были закрыты.
В тот день разработчики PHP выпустили обновления для двух критических уязвимостей — CVE-2026-109618 и CVE-2026-109619. Каждую оценили в 9,2 балла из 10 по CVSS 4.0. Ошибки касались обработки запросов и ошибок в PHP. По оценке Wiz, этот язык используется примерно на 70% сайтов в интернете. Значит, проблема могла затронуть проекты на разных платформах, в том числе на Laravel.
При определённых условиях уязвимости позволяли удалённо выполнить код на сервере без авторизации. Первая была связана с нехваткой памяти во время обработки запроса: PHP мог сохранить незавершённые внутренние данные и позднее принять их за корректные. Вторая — с состоянием, которое после ошибки могло сохраниться в рабочем процессе и перейти в следующий запрос.
Патчи должны были выйти в 17:00. К тому времени сведения об уязвимостях уже начали появляться в открытом доступе. Мы заметили и повышенную активность ботов.
После выхода исправлений мы обновили серверы до PHP 8.3.36 — исправленной версии ветки PHP 8.3. Затем вернули сайты в работу. Команда PHP рекомендовала установить обновление как можно скорее: настройки могли снизить риск отдельных сценариев, но полностью проблему решал только переход на исправленную версию.
23 октября к 19:00 по Москве мы восстановили полноценную публичную работу сайтов. Доступ к управлению пока ограничен: FastPanel закрыт, а менять информацию на сайтах можно только с IP-адреса разработчика. Работа с полной возможностью администрирования сайтов восстановлена 26 октября к обеду.
23 октября команда PHP сообщила о другом, редком сценарии выполнения кода. Он связан с необычным сочетанием настроек сессий и поведения приложения. Это отдельная ситуация, версия 8.3.36 её не исправляет. Мы проверяем, относится ли рекомендация PHP к нашим проектам.
