Критическая уязвимость PHP уже закрыта

21 октября в PHP закрыли две критические уязвимости, CVE-2026-109618 и CVE-2026-109619. Через обычный HTTP-запрос, без пароля, можно было выполнить код на сервере. Официальные исправления вышли только для PHP 8.2, 8.3, 8.4 и 8.5. Версии 8.1 и старше разработчики PHP больше не сопровождают, поэтому на многих хостингах старые сайты так и остались без патча.

На MultiHOST — нет. Исправление уже стоит. Мы работаем на CloudLinux: патч установлен и на актуальных ветках, и на старых, которые всё ещё нужны клиентским проектам.

Старые версии PHP под защитой HardenedPHP

Почему важны alt-php

Если сайт всё ещё на PHP 5.6, 7.0–7.3 или 8.0–8.1, «просто обновить PHP» часто ломает код. Поэтому для таких версий мы используем alt-php — HardenedPHP от CloudLinux. Это те же ветки, которые видит сайт, но с вендорными патчами безопасности. Для этой дыры уже стоит сборка с CVE-2026-109618 и CVE-2026-109619.

На виртуальном хостинге MultiHOST такие версии идут через alt-php. Клиенту не нужно ничего переписывать и не нужно менять версию в панели из-за этой уязвимости.

Что это значит для вас

хостинг MultiHOST уже пропатчен, в том числе на старых ветках PHP;
сайтам на PHP 5.6 и других EOL-версиях не нужен срочный переезд на 8.x только из-за этой дыры;
если сайт сейчас у хостера без патча на старом PHP, переезд к нам закрывает уязвимость без переписывания проекта.

Мы следим за такими инцидентами и закрываем их на своей стороне, чтобы клиенты могли спокойно заниматься сайтом, а не сборкой PHP.

Нужна помощь с переносом — напишите в поддержку. Как перенести сайт, описано в инструкции. Перенос на MultiHOST бесплатный.