Экстренный патч PHP: две критические RCE-уязвимости угрожают сайтам на WordPress и магазинам WooCommerce

21 октября разработчики языка PHP выпустили экстренные обновления безопасности, закрывающие две критические бреши — CVE-2026-109618 и CVE-2026-109619. Уязвимости получили оценку 9.2 по шкале CVSS v4.0 и позволяют неавторизованному злоумышленнику удаленно выполнить произвольный код (RCE) на сервере.

Вслед за релизом команды безопасности WordPress и официальный блог разработчиков WooCommerce выпустили срочные предупреждения. Владельцам интернет-магазинов и веб-мастерам рекомендовано немедленно проверить конфигурацию своих серверов. Британский национальный центр кибербезопасности (NCSC) и вовсе порекомендовал временно изолировать или отключать уязвимые веб-системы от сети, если накат патча задерживается.

В чем суть угрозы?

Проблема кроется не в коде самого движка WordPress или плагинов, а непосредственно в среде выполнения PHP. Так как детали эксплойтов утекли в публичное поле практически одновременно с релизом исправлений, сканеры ботнетов уже начали массовый поиск непропатченных машин.

Успешная атака дает злоумышленнику возможность перехватить контроль над окружением, внедрить веб-шеллы, скомпрометировать базы данных заказов и платежные токены в интернет-магазинах.

Какие версии исправлены?

Разработчики PHP выпустили корректирующие сборки для актуальных веток (включая PHP 8.4.27 и PHP 8.5.12).

Важно: Обновление движка WordPress или плагинов через консоль админки эту проблему не решает. Патч должен применяться на уровне операционной системы хостинга или в настройках панели управления сервером (ISPmanager, cPanel и др.).

Чек-лист для веб-мастеров и разработчиков

1. Проверьте версию PHP в рантайме. Перейдите в админке WordPress в раздел Инструменты → Здоровье сайта → Информация → Сервер. Убедитесь, что там отображается свежий релиз или версия с примененным бэкпортом.
2. Уточните статус у хостинг-провайдера. Если вы используете виртуальный хостинг или управляемый VPS, обратитесь в поддержку и запросите подтверждение, закрыты ли уязвимости CVE-2026-109618 и CVE-2026-109619 в используемом пакете PHP-FPM / FastCGI. У многих дистрибутивов (Ubuntu/Debian/RHEL) номер версии может не измениться, так как исправление внедряется через бэкпорт ревизии пакета.
3. Контрольный тест для WooCommerce: После обновления среды выполнения обязательно выполните тестовую транзакцию: проверьте штатную отправку вебхуков платежных шлюзов, фоновые задачи Action Scheduler и смену статусов заказов.