Оновлення безпеки PHP: спершу виправлення, потім перевірка секретів і доступу

21 жовтня 2026 року PHP випустив 8.5.12, 8.4.27, 8.3.36 та 8.2.35 для виправлення CVE-2026-109618 і CVE-2026-109619 — критичних вразливостей, що можуть дозволити віддалене виконання коду без автентифікації. Офіційне повідомлення відносить до ризикових інсталяції, які обробляють вебзапити, зокрема PHP-FPM та Apache mod_php. Повне виправлення — оновлення; тимчасові заходи йому не рівноцінні.

Вразлива інсталяція не доводить злам. Розглядайте оновлення, розслідування й відновлення облікових даних як пов'язані завдання, вирішуючи за середовищем і доказами.

Визначте, що насправді обробляє запити

Перелічіть публічні сайти, внутрішні сервіси, контейнери й хостингові облікові записи з PHP. Перевірте версію та стан виправлення середовища вебзапитів: версія командного рядка може стосуватися іншої інсталяції.

Для керованого хостингу попросіть підтвердження застосованого пакета, відповідного сервісу й перезапуску або розгортання. Дистрибутиви можуть переносити виправлення до старих версій; отримайте підтвердження постачальника, а не оцінюйте лише номер початкової версії. З оператором звіряйте охоплення за рекомендаціями команди PHP. Не публікуйте діагностичну сторінку, що розкриває конфігурацію сервера.

Обмежте вплив і відновіть довірене середовище

Швидко узгодьте оновлення з хостингом або експлуатацією. Якщо оцінка інциденту потребує, обмежте доступність чи ізолюйте системи, зберігаючи відповідні докази. Не відкладайте термінове стримування заради завершення збору журналів.

Перевірте період відкритості, веб- і системні журнали, несподівані файли або процеси та події аудиту відповідних провайдерів. Відсутність сповіщень чи нормальні на вигляд журнали не доводять, що хост не зачеплено.

За підтвердженого або обґрунтовано підозрюваного зламу дотримуйтеся процедури інцидентів і перебудуйте чи відновіть систему з довіреного джерела. Патч не видаляє механізми закріплення нападника. Не створюйте, не отримуйте й не встановлюйте нові секрети на недовіреному хості чи пристрої.

Оцініть облікові дані перед ротацією

Перелічіть дані, доступні ураженому процесу: конфігурацію застосунку, змінні середовища, токени розгортання, облікові дані БД та API-ключі. Визначте права, межі й можливість розкриття. Саме оголошення не означає витік усіх секретів організації.

Для потенційно розкритих даних узгодьте заміну й відкликання у сервісі, що їх видав, із довіреного адміністративного пристрою. Установіть заміни в довіреному перебудованому середовищі й перевірте штатні інтеграції. Обирайте порядок за активним зловживанням, можливостями провайдера й залежностями. Не обіцяйте роботу без перерв і не залишайте розкритий ключ активним безстроково заради зручності.

За потреби перевірте сеанси й відновлювальний доступ та запишіть відповідального за кожну зміну. Не додавайте самі секрети до заявки чи журналу інциденту. OWASP

Закрийте аварійний доступ після роботи

Надавайте фахівцям окремі записи з мінімальними правами та узгодженим часом завершення. Після відновлення перевірте тимчасові ролі, сеанси, доступ до розгортання й посилання передавання. Видаліть непотрібні залишкові права й підтвердьте результат у відповідному сервісі, не покладаючись лише на нагадування.

Розрізняйте три механізми

Механізм	Що змінює	Чого не робить
Завершення строку посилання	Подальший доступ через нього	Не відкликає облікові дані провайдера
Відкликання ключа провайдера	Чи приймає провайдер цей ключ	Не стирає копії й не ремонтує зламаний хост
Видалення повідомлення або нотатки	Доступність у цій системі	Не повертає завантаження, знімки екрана чи текст

Передавайте тимчасово лише після відновлення довіри

Якщо процедура дозволяє, створіть нотатку з паролем з довіреної системи з мінімумом для перевіреного отримувача. Пароль надішліть окремо, а строк і ліміти доступу використовуйте за підтримки тарифу. Не додавайте фраз відновлення гаманців чи приватних ключів.

LOCK.PUB — обмежений засіб передавання: він не оновлює PHP, не ремонтує заражені пристрої, не відкликає ключі провайдерів і не повертає копії. Він не замінює менеджер секретів, контроль ідентичності чи реагування на інциденти.

Поширені запитання

Чи завершує встановлення оновлення PHP розслідування?

Ні. Воно виправляє вразливість; подальше розслідування, відновлення та дії з даними визначають докази й масштаб впливу.

Чи вимикає прострочення нотатки API-ключ усередині?

Ні. Відкличте чи замініть ключ у провайдера. Скопійовані дані існують окремо від посилання, що їх доставило.

До теми: передавання API-ключів із чіткими обмеженнями.