После письма об уязвимостях PHP проверьте сайт и обмен заказами с CRM и учётной системой. Это касается интернет-магазина, производства и опта — даже если всё работает как обычно.
Что произошло
21 октября разработчики PHP выпустили исправления двух критических уязвимостей: CVE-2026-109618 и CVE-2026-109619. При определённых условиях они позволяют постороннему выполнить код на сервере без входа в систему.
Проблема находится в самом PHP — программной среде, на которой работают многие сайты и веб-приложения. Поэтому обновление шаблона, плагина или самой CMS не заменяет исправление PHP. Подробности опубликованы в официальном сообщении разработчиков.
Где искать PHP: сайт, Битрикс24 и обмен данными
Начать стоит с сайтов на WordPress и «1С-Битрикс», коробочного Битрикс24 и собственных приложений на PHP. Отдельно проверьте интеграции: небольшой скрипт обмена данными тоже может использовать PHP, даже если основные системы работают на других технологиях.
Например, интернет-магазин передаёт заказы в МойСклад через отдельный обработчик на арендованном сервере. За магазин отвечает одна команда, за учётную систему — поставщик сервиса, а обработчик когда-то установил подрядчик. Именно такие промежуточные приложения легко пропустить.
Если у вас облачный Битрикс24 или МойСклад, обновлением их серверов занимается поставщик. Ваша задача — уточнить его статус и проверить собственные приложения, которые подключены к этим сервисам. О том, какие данные передаются между системами, — в статье «МойСклад и Битрикс24: связка систем».
Что сделать владельцу бизнеса
Не обязательно самостоятельно заходить на сервер и разбираться в настройках. Важно получить от ответственного специалиста конкретный результат проверки.
Найдите все места, где работают приложения
Посмотрите не только основной сайт. В список стоит включить CRM, личные кабинеты, формы заявок, обмены с учётной системой, старые поддомены и тестовые сайты, доступные из интернета.
Назначьте ответственного за каждую систему
Это может быть хостинг, администратор, разработчик или компания, которая обслуживает интеграцию. Аренда сервера сама по себе не означает, что провайдер обновляет установленное на нём программное обеспечение: это зависит от услуги и договора.
Для каждого приложения достаточно зафиксировать четыре вещи: что оно делает, где работает, кто его обслуживает и как с ним связаться. Запись «обмен заказами — сервер подрядчика — ответственный разработчик» полезнее общего ответа «за всё отвечает хостинг».
Запросите проверку и подтверждение результата
Готовый запрос подрядчику
Проверьте сайт, CRM, обработчики форм и интеграции на уязвимости PHP CVE-2026-109618 и CVE-2026-109619. По каждой системе сообщите результат: PHP не используется, исправление установлено или требуется обновление. Если нужны работы — укажите ответственного, срок, возможный перерыв и способ восстановления. После обновления подтвердите версию или пакет с исправлением и результат проверки заявок, заказов и обмена данными.
Хороший ответ — это список проверенных систем и результат по каждой: PHP отсутствует, исправление уже установлено или требуется обновление с понятным сроком.
Если PHP нужно обновлять
Разработчики выпустили исправления в версиях 8.2.35, 8.3.36, 8.4.27 и 8.5.12. У пакетов Ubuntu, Debian и других поставщиков номер может отличаться: исправление иногда добавляют в существующую ветку. Проверять нужно конкретный пакет и уведомление его поставщика.
Для PHP 8.1 и более старых веток уточните у поставщика наличие исправления либо согласуйте переход на поддерживаемую версию. Временные настройки снижают отдельные риски, но не заменяют обновление. Источник: PHP.
Ограничения при смене версии PHP
Не переключайте версию в панели хостинга без проверки совместимости сайта и модулей и подготовленного восстановления. Поручите специалисту выбрать исправленный пакет и проверить совместимость. Это часть срочного обновления, а не повод откладывать его на неопределённый срок.
Если в связке используется МойСклад, отдельно посмотрите, какие данные можно сохранить и как подготовить резервную копию. Сохранение данных учётной системы не заменяет резервную копию сайта и его настроек.
Как понять, что после обновления всё работает
Открывшаяся главная страница ещё не подтверждает, что заявки доходят до отдела продаж. Проверьте путь данных до конца — по тем сценариям, которые есть у вашей компании:
- Отправьте тестовую заявку и найдите её в CRM: контакт и сообщение сохранились, ответственный назначен.
- Создайте тестовый заказ и убедитесь, что он появился в учётной системе один раз, с нужными товарами и количеством.
- Проверьте обратный обмен: например, изменение статуса или остатка дошло до сайта, если это предусмотрено интеграцией.
- Проверьте вход в личный кабинет и фоновые обмены, которые запускаются по расписанию.
Тестовые записи заранее пометьте, чтобы сотрудники не приняли их за настоящие заказы. Попросите специалиста зафиксировать результат: что проверено, что работает и какие проблемы ещё остаются.
Как мы проверили свои проекты в CRMHUB
После предупреждения хостинга мы сверили список ресурсов в кабинетах провайдеров, проверили рабочий сервер, запущенные приложения и конфигурацию сайтов.
В проверенных собственных проектах PHP не обнаружили. Поэтому срочное обновление именно по этим двум уязвимостям нам не потребовалось.
Этот вывод относится к проверенным ресурсам и конкретным уязвимостям. Он не означает, что приложения вообще не требуют обслуживания.
В нашей проверке важным оказался список ресурсов: одних сведений о технологии основного сайта было бы недостаточно. Когда подрядчики меняются, а интеграции продолжают работать годами, такой список помогает быстро найти ответственного и не пропустить отдельное приложение.