21 октября 2026 года разработчики PHP и Ubuntu выпустили исправления для двух критических уязвимостей — CVE-2026-109618 и CVE-2026-109619. При определённых условиях злоумышленник может удалённо выполнить код на сервере через сайт, работающий на уязвимой версии PHP. Поэтому важно как можно скорее установить обновления и проверить не только системный PHP, но и версии, назначенные сайтам в FASTPANEL.

Пошаговая инструкция по обновлению PHP в Ubuntu и FASTPANEL

21 октября 2026 года для PHP выпустили исправления двух критических уязвимостей: CVE-2026-109618 и CVE-2026-109619. При определённых условиях они позволяют злоумышленнику удалённо выполнить код на сервере через PHP-приложение. Установите обновления и проверьте, какую версию PHP использует каждый сайт.

Инструкция подходит для Ubuntu 22.04 и Ubuntu 24.04. Она охватывает системный PHP из репозиториев Ubuntu. Если сайт использует отдельную версию PHP, установленную через FASTPANEL, смотрите раздел «Если сайт использует PHP из FASTPANEL».

1. Подключитесь к серверу

Для подключения понадобятся IP-адрес сервера и пароль или SSH-ключ. В Windows откройте PowerShell: нажмите «Пуск», введите «PowerShell» и запустите приложение. На macOS откройте приложение «Терминал».

Введите команду, заменив IP-АДРЕС-СЕРВЕРА на адрес своего сервера:

ssh root@IP-АДРЕС-СЕРВЕРА

Например:

ssh root@203.0.113.10

При первом подключении появится запрос доверия к серверу. Введите yes и нажмите Enter. Затем введите пароль сервера и снова нажмите Enter. Во время ввода пароль не отображается — это нормально.

Если вы подключаетесь не под пользователем root, добавляйте sudo перед командами ниже.

2. Узнайте версию Ubuntu

Выполните команду:

lsb_release -a

В выводе найдите строку Codename:

  • jammy — Ubuntu 22.04;
  • noble — Ubuntu 24.04.

3. Установите обновления PHP

Сначала обновите список доступных пакетов:

apt update

Затем выполните команду для своей версии Ubuntu.

Ubuntu 22.04

apt install --only-upgrade '?name(^php[0-9.]+$)'

На Ubuntu 22.04 системный PHP — это PHP 8.1. Исправленный пакет имеет версию 8.1.2-1ubuntu2.28 или новее.

Ubuntu 24.04

apt install --only-upgrade '?name(^php[0-9.]+$)'

На Ubuntu 24.04 системный PHP — это PHP 8.3. Исправленный пакет имеет версию 8.3.6-0ubuntu0.24.04.13 или новее.

Если появится запрос на продолжение установки, введите Y и нажмите Enter. Номер основной версии PHP может остаться прежним: Ubuntu включает исправления в пакеты с собственными номерами сборок.

4. Перезапустите сервер

После обновления перезагрузите сервер, чтобы запущенные приложения начали использовать новые пакеты:

reboot

SSH-соединение отключится. Подождите пару минут и подключитесь к серверу снова.

5. Проверьте установленную версию пакета

Для Ubuntu 22.04 выполните:

dpkg-query -W php8.1-cli
apt-cache policy php8.1-cli

В строке Installed проверьте, что указана версия 8.1.2-1ubuntu2.28 или новее.

Для Ubuntu 24.04 выполните:

dpkg-query -W php8.3-cli
apt-cache policy php8.3-cli

В строке Installed должна быть версия 8.3.6-0ubuntu0.24.04.13 или новее.

Если сайт использует PHP из FASTPANEL

FASTPANEL позволяет назначить каждому сайту собственную версию PHP. Поэтому обновление системного PHP через apt не обновляет автоматически дополнительные версии панели, например PHP в каталогах /opt/php74 или /opt/php81.

  1. Откройте FASTPANEL и перейдите в карточку сайта.
  2. Откройте настройки PHP сайта и проверьте выбранную версию.
  3. В панели перейдите в «Настройки» → «Приложения» и проверьте доступность обновления для используемой версии PHP.
  4. Если обновления нет, обратитесь в поддержку FASTPANEL и уточните, доступна ли исправленная сборка.

Не переключайте работающий сайт на другую версию PHP, не проверив совместимость сайта и его расширений. После установки или смены версии откройте сайт и убедитесь, что он работает корректно.

Важно: сайт можно считать обновлённым только после проверки версии PHP, которая назначена именно этому сайту. Проверка системной команды php -v сама по себе этого не гарантирует.

Источники: рекомендации Ubuntu по уязвимостям PHP и документация FASTPANEL по версиям PHP.