21 октября разработчики PHP выпустили обновления безопасности. Они закрывают две уязвимости в самом PHP. Рассказываем, что сделать, чтобы ваши сайты и дальше работали надёжно.
Уязвимости находятся не в коде сайтов, а в самом PHP, поэтому обновление касается сайтов на любых CMS.
Виртуальный хостинг HostflyPHP на виртуальном хостинге мы обновляем сами, вам ничего делать не нужно.
Если у вас VPS или выделенный сервер
Обновление нужно для любой установки PHP, которая обслуживает сайты: PHP-FPM, Apache с mod_php, php-cgi, FrankenPHP или LiteSpeed. Исправления выпущены для всех поддерживаемых версий:
Если PHP установлен из репозиториев операционной системы (например, Ubuntu или Debian), обновлённые пакеты уже выпущены или появятся в ближайшее время: разработчики PHP заранее передали исправления поставщикам дистрибутивов. Чтобы защитить сервер, достаточно трёх шагов:
- Обновите пакеты PHP.
- Перезапустите веб-сервер и PHP-FPM.
- Убедитесь, что установлена исправленная версия, например командой
php -v.
Если PHP установлен из репозитория Remi, учтите: для этого выпуска обновлений там нет. Разработчики PHP советуют перейти на пакеты дистрибутива или собрать PHP из исходников.
Если у вас PHP 8.1 или более ранняя версия
PHP 8.1 и более ранние версии разработчики больше не поддерживают. Исправления для некоторых из них выпускают поставщики дистрибутивов и долгосрочной поддержки — уточните это у своего поставщика. Кроме того, команда безопасности PHP опубликовала исправления исходного кода для PHP 7.4, 8.0 и 8.1: они пригодятся тем, кто собирает PHP самостоятельно.
Если для вашей версии исправления нет, советуем перейти на PHP 8.3 или новее. Поддержка PHP 8.2 заканчивается 31 декабря 2026 года, после этого исправления безопасности для неё выходить не будут.
Перед переходом проверьте совместимость сайта с новой версией, чтобы обновление прошло без сбоев.
Если обновить сразу нельзя
Разработчики PHP советуют временные меры, для каждой уязвимости свои. Все они перечислены в официальном сообщении. Например, можно отключить отслеживание загрузки файлов в сессиях (session.upload_progress.enabled = 0) и перезапустить процессы PHP.
Эти меры снижают риск, но не устраняют уязвимости и не заменяют обновление, поэтому лучше запланировать его как можно скорее.
Официальное сообщение PHP →Мы на связи
Если нужна помощь с обновлением PHP на VPS или выделенном сервере или остались вопросы, напишите нам. Поддержка работает круглосуточно: support@hostfly.by, +375 29 336 73 73.
