Обновление безопасности PHP: сначала исправление, затем проверка секретов и доступа

21 октября 2026 года PHP выпустил 8.5.12, 8.4.27, 8.3.36 и 8.2.35 с исправлениями CVE-2026-109618 и CVE-2026-109619 — критических уязвимостей, допускающих удалённое выполнение кода без аутентификации. В официальном сообщении к группе риска отнесены установки, обслуживающие веб-запросы, включая PHP-FPM и Apache mod_php. Полное исправление — обновление; временные меры ему не равноценны.

Наличие уязвимой установки не доказывает взлом. Рассматривайте обновление, расследование и восстановление учётных данных как связанные задачи, принимая решения по своей среде и доказательствам.

Установите, что действительно обрабатывает запросы

Составьте перечень публичных сайтов, внутренних сервисов, контейнеров и хостинг-аккаунтов с PHP. Проверьте версию и наличие исправления именно у среды веб-запросов: версия командной строки может относиться к другой установке.

На управляемом хостинге запросите подтверждение пакета, затронутого сервиса и перезапуска или развёртывания. Поставщики дистрибутивов могут переносить исправления в старые версии: получите их подтверждение, а не судите только по исходному номеру. Вместе с оператором сверяйте охват с рекомендациями команды PHP. Не публикуйте диагностическую страницу, раскрывающую настройки сервера.

Ограничьте воздействие и восстановите доверенную среду

Быстро согласуйте обновление с хостингом или эксплуатацией. Если оценка инцидента требует, ограничьте доступность или изолируйте системы, сохраняя значимые доказательства. Не откладывайте срочное сдерживание ради завершения сбора журналов.

Проверьте период открытости, веб- и системные журналы, неожиданные файлы и процессы, события аудита соответствующих провайдеров. Отсутствие тревог и нормальные на вид журналы не доказывают, что хост не затронут.

При подтверждённом или обоснованно предполагаемом взломе следуйте процедуре инцидентов: пересоберите или восстановите систему из доверенного источника. Патч не удаляет закрепление атакующего. Не создавайте, не получайте и не устанавливайте новые секреты на недоверенном хосте или устройстве.

Оцените учётные данные до ротации

Перечислите доступное затронутому процессу: конфигурацию приложения, переменные окружения, токены развёртывания, данные доступа к БД и API-ключи провайдеров. Определите права, область и возможность раскрытия. Само сообщение не показывает, что утекли все секреты организации.

Для потенциально раскрытых данных согласуйте замену и отзыв у выдавшего провайдера с доверенного устройства администратора. Установите новые значения в доверенной пересобранной среде и проверьте штатные интеграции. Определяйте порядок по текущему злоупотреблению, возможностям провайдера и зависимостям. Не обещайте непрерывную работу и не оставляйте раскрытый ключ активным бессрочно ради удобства.

По необходимости проверьте сессии и восстановительный доступ, запишите ответственного за каждое изменение. Не помещайте сами секреты в тикет или журнал инцидента. OWASP

Закройте аварийный доступ после работы

Выдавайте специалистам индивидуальные аккаунты с минимальными правами и согласованным временем завершения. После восстановления пересмотрите временные роли, сессии, доступ к развёртыванию и ссылки передачи. Удалите ненужные оставшиеся права и подтвердите результат в соответствующем сервисе, не полагаясь лишь на напоминание.

Разделяйте три разных механизма

Механизм	Что меняется	Чего он не делает
Истечение ссылки передачи	Последующий доступ по этой ссылке	Не отзывает секрет провайдера
Отзыв ключа провайдера	Принимает ли провайдер этот ключ	Не стирает копии и не восстанавливает взломанный хост
Удаление сообщения или заметки	Доступность объекта в этой системе	Не возвращает загрузки, снимки экрана и скопированный текст

Передавайте временно только после восстановления доверия

Если процедура допускает, создайте заметку с паролем с доверенной системы, передав проверенному получателю только необходимый минимум. Пароль отправьте отдельно, а срок и лимиты доступа применяйте, если их поддерживает тариф. Не включайте фразы восстановления кошельков или приватные ключи.

LOCK.PUB — ограниченный инструмент передачи: он не обновляет PHP, не лечит заражённые устройства, не отзывает ключ провайдера и не возвращает копии. Он не заменяет менеджер секретов, управление идентификацией и реагирование на инциденты.

Частые вопросы

Установка обновления PHP завершает расследование?

Нет. Она исправляет уязвимость; дальнейшие расследование, восстановление и действия с секретами зависят от доказательств и масштаба воздействия.

Истечение заметки отключает API-ключ внутри неё?

Нет. Отзовите или замените ключ у провайдера. Скопированные учётные данные существуют отдельно от доставившей их ссылки.

По теме: обмен API-ключами с ясными ограничениями.