PHP 8.x закрыл две RCE-дыры: эксплойты уже гуляют по сети

Что произошло, почему это важно и что взять в работу.

Всем, кто держит сайты на PHP (WordPress, Drupal, самописные бэкенды), нужно обновляться немедленно — патчи вышли 21 октября, а PoC-эксплойты появились раньше официального релиза из-за утечки.

Связанные услуги: каталог, AI Boost Team, стать клиентом.

Если у вас сайт на PHP, у вас появилась задача на сегодня. Не на следующую неделю и не «когда дойдут руки». Внеплановые обновления закрывают две дыры удалённого выполнения кода, и рабочие эксплойты пошли по сети раньше, чем вышли сами патчи.

If you're running anything on PHP it's vital you upgrade - today's updates (across the entire PHP 8.x line) address two remote code execution holes.

Что именно закрыли 21 октября

Релизы вышли 21 октября 2026 года в 14:00 UTC и закрывают две уязвимости RCE во всей линейке PHP 8.x. Оценка CVSS — 9.2. Речь про удалённое выполнение кода без аутентификации: чтобы поставить бэкдор, логин в админку не нужен.

Затронут не абстрактный «PHP где-то на сервере». В цепочке подтверждения фигурируют Drupal и WordPress — то есть ровно тот стек, на котором стоит сайт средней российской компании, интернет-магазина или корпоративного блога. Самописные бэкенды на 8.x в той же лодке: если вендор писал на PHP сам, патч всё равно нужен.

Отдельно про сроки. Патчи вышли не по графику: изначально релиз планировали на 22 октября, 14:00 UTC. Его сдвинули на сутки раньше. Причина не в том, что кто-то перестраховался, а в том, что план раскрытия сломался на середине.

Утечка, которая всё ускорила

20 октября около 15:00 UTC оба идентификатора CVE пошли гулять по форумам и соцсетям. Технических деталей в утечке не было — только номера, неверное время релиза и завышенный скор.

the two CVE IDs began circulating on online forums and social media. They came with a wrong release time and a wrong CVSS score of 10.0 (the actual score is 9.2).

Проект отреагировал быстро: предварительный анонс опубликовали в 19:30 UTC вместо запланированного позже, релиз перенесли. Дальше вмешался человеческий фактор. Около 20:00 UTC фирма Calif, одна из тех, кто сообщал об уязвимостях, по ошибке выложила видео. На нём работающий proof-of-concept против нескольких целей и часть дополнительных деталей. Видео удалили, копии остались в соцсетях.

Именно это и превратило теоретическую угрозу в практическую. PoC начали размножаться, к 21 октября их стало заметно больше, а сканеры и автоматические атаки подтягиваются к готовым эксплойтам за часы, не за недели.

Два месяца до патча — и сутки на реакцию

История самой уязвимости началась задолго до утечки. 19 августа 2026 года исследователи Wiz Research нашли первую дыру в PHP — с помощью собственных AI-инструментов, Wiz Atlas и языковых моделей. 20 августа подтвердили неаутентифицированный RCE на Drupal, 21 августа — на WordPress. 24 августа отчёт ушёл команде безопасности PHP. 21 сентября проект подтвердил получение и начал готовить фикс. Патчи вышли 21 октября.

August 24, 2026: Wiz Research reports the vulnerabilities to the PHP security team. September 21, 2026: PHP acknowledges the reports and begins developing a coordinated fix.

В этой хронологии два неприятных для бизнеса места. Первое: от отчёта до подтверждения прошёл почти месяц — почти треть всего цикла. Второе: дыру нашли автоматизированным AI-инструментом, а не руками в рамках многомесячного аудита. Класс уязвимостей, которые раньше жили годами, теперь находят быстрее — и это не разовая история, а новый baseline скорости.

Для владельца сайта эти два месяца не значат ничего. Его отсчёт начался вечером 20 октября, когда идентификаторы CVE утекли, а видео с PoC разошлось по сети. Между появлением эксплойта и патчем у него было меньше суток.

Что делать конкретно

• Проверьте версию PHP. Если у вас 8.x — обновляйтесь до актуального патч-релиза сегодня. Не «в течение недели».
• Сайт на shared-хостинге: ваша версия PHP часто переключается в панели управления, но не всегда. Пишите провайдеру тикет с прямым вопросом, обновлён ли PHP до релиза от 21 октября, и просите письменный ответ.
• Drupal и WordPress: обновите ядро, не только плагины. Патчи PHP не закрывают дыру в CMS, если она там тоже есть.
• Поднимите логи веб-сервера за 20–21 октября. Ищите аномальные POST-запросы и обращения к файлам, которых вы не создавали.
• WAF оставьте включённым, но не считайте его решением. Сигнатуры под свежий PoC отстают, а обновление закрывает причину.

Самописный бэкенд на PHP 8.x — самый рискованный случай. Тут некому прислать письмо «выпустили патч», и никто не проверит за вас, что composer-зависимости тянут актуальную ветку.

Вердикт короткий. Обновление PHP до релиза от 21 октября — работа на вечер, а не проект на квартал. Цена промедления — чужой код на вашем сервере, и это тот случай, когда «успеем на следующей неделе» звучит как плохая шутка. Проверьте версию прямо сейчас, до того как дочитаете следующую статью.