YourWebsite.com

 
PHP2Shell: обнаружены две критические уязвимости PHP — необходимо срочное обновление!

21 октября 2026 года команда разработчиков PHP выпустила экстренные обновления безопасности, устраняющие две критические уязвимости, получившие неофициальное название PHP2Shell.

Уязвимости CVE-2026-109618 и CVE-2026-109619 получили оценку 9,2 из 10 по шкале CVSS 4.0 и позволяют злоумышленникам удалённо выполнять произвольный код на сервере без предварительной авторизации (Remote Code Execution, RCE).

Проблема затрагивает непосредственно интерпретатор PHP, поэтому потенциально опасна для любых сайтов и веб-приложений, работающих на уязвимых версиях, включая форумы Simple Machines Forum (SMF).

В чём заключается опасность?

Обнаруженные уязвимости связаны с ошибками управления памятью и внутренним состоянием PHP при обработке HTTP-запросов.

• CVE-2026-109618 — некорректная обработка ситуаций нехватки памяти (Out of Memory, OOM). При определённых условиях внутренние структуры запроса могут оказаться частично инициализированными, что создаёт возможность выполнения произвольного кода.
• CVE-2026-109619 — неправильное управление внутренним состоянием между запросами. PHP может повторно использовать данные, память под которые уже была освобождена (Use-After-Free), что также создаёт возможность удалённого выполнения кода.

Особую опасность представляет возможность эксплуатации без учётной записи пользователя. По информации разработчиков PHP, для конфигураций Apache с mod_php подтверждён сценарий атаки, срабатывающий ещё до начала выполнения кода веб-приложения.

Успешная эксплуатация может позволить злоумышленнику выполнять команды с правами процесса PHP, получать доступ к файлам сайта, конфигурации и учётным данным подключения к базе данных, изменять содержимое сайта или внедрять вредоносный код.

Какие версии PHP подвержены уязвимостям?

Проблема затрагивает широкий диапазон версий PHP, начиная с PHP 5.4. Исправления выпущены для всех поддерживаемых веток.

Безопасные версии:

• PHP 8.5 — 8.5.12 и новее
• PHP 8.4 — 8.4.27 и новее
• PHP 8.3 — 8.3.36 и новее
• PHP 8.2 — 8.2.35 и новее

Важно! Ветки PHP 8.1 и более ранние уже сняты с официальной поддержки и не получают стандартных обновлений безопасности от разработчиков PHP.

При этом разработчики дистрибутивов Linux и поставщики расширенной поддержки (LTS) могут выпускать исправления с обратным переносом патчей (backport). В таких случаях номер версии PHP может остаться прежним, поэтому необходимо проверять наличие исправления непосредственно у поставщика пакетов.

Что необходимо сделать администраторам форумов SMF?

В первую очередь рекомендуем проверить используемую форумом версию PHP и убедиться в наличии необходимых исправлений.

• Проверьте версию PHP. Уточните версию, которую использует именно веб-сервер с форумом. Версия PHP в командной строке может отличаться от используемой сайтом.
• Установите обновления безопасности. Используйте исправленные версии PHP или пакеты с подтверждёнными исправлениями от поставщика операционной системы.
• Проверьте работу форума после обновления. Особое внимание уделите авторизации, вложениям, загрузке аватаров, отправке сообщений и установленным модификациям SMF.
• Если используется виртуальный хостинг, обратитесь к провайдеру и уточните, установлены ли исправления для CVE-2026-109618 и CVE-2026-109619.
• Убедитесь, что обновлённые обработчики PHP запущены. После установки обновлений может потребоваться перезапуск PHP-FPM или Apache с mod_php, чтобы новые версии библиотек начали использоваться работающими процессами.

Можно ли временно защититься без обновления?

Разработчики PHP подчёркивают, что полноценной альтернативы установке исправлений не существует.

До обновления отдельные меры могут снизить риск эксплуатации, но не гарантируют безопасность.

В частности, рекомендуется рассмотреть отключение механизма отслеживания прогресса загрузки файлов:

session.upload_progress.enabled = 0
Эта настройка снижает риск для одного из подтверждённых сценариев эксплуатации, но не устраняет обе уязвимости полностью.

Дополнительные ограничения на обработку multipart-запросов также могут уменьшить поверхность атаки. Однако их применение способно нарушить загрузку вложений, аватаров и других файлов на форуме.

Поэтому любые временные ограничения следует применять с учётом конфигурации сервера и функциональности сайта.

Относится ли проблема непосредственно к SMF?

Нет. Уязвимости PHP2Shell обнаружены в самом PHP, а не в исходном коде Simple Machines Forum.

Однако поскольку SMF использует PHP для обработки запросов, форум может оказаться под угрозой независимо от версии установленного движка.

Обновление SMF или установленных модификаций не заменяет обновление PHP. Даже актуальная версия форума не устраняет уязвимости в серверном окружении.

Настоятельно рекомендуем всем администраторам форумов SMF не откладывать проверку и обновление PHP, особенно если форум доступен из интернета.

Дополнительная информация

• PHP2Shell — описание уязвимостей, рекомендации по защите и обновлению
• PHP.net — официальное уведомление разработчиков PHP от 21 октября 2026 года
• PHP.net — загрузка актуальных версий PHP

Проект Simple Machines Forum выпустил обновление безопасности для SMF 2.1.x, которое повышает номер версии до 2.1.8. Всем пользователям SMF 2.1.x рекомендуется установить обновление как можно скорее.

Основные изменения в SMF 2.1.8

• Улучшена поддержка обратных прокси-серверов (Reverse Proxy).
• Исправлен ряд проблем, связанных с работой поисковых роботов на базе ИИ.
• Улучшена обработка часовых поясов.
• Устранены многочисленные уязвимости безопасности.
• Повышена производительность системы обновления на крупных форумах.
• Прочие исправления ошибок.

Дополнительную информацию можно найти в списке изменений на GitHub.

Как обновиться до версии 2.1.8

Если вы используете версию 2.1.7, вы можете обновиться через Менеджер пакетов (Центр администрирования > Менеджер пакетов). Там должно появиться уведомление об обновлении до версии 2.1.8 со ссылкой «обновить форум». Если уведомление не появилось, выполните задачу «Получить файлы Simple Machines» на странице Запланированные задачи (Центр администрирования > Обслуживание > Запланированные задачи), затем попробуйте снова.

Если вы используете любую версию от 2.1.0 до 2.1.7, можете использовать описанный выше процесс, последовательно устанавливая предыдущие обновления, пока не достигнете версии 2.1.8.

Если вы используете любую более старую версию SMF (включая SMF 1.x, SMF 2.0.x или одну из бета-версий/релиз-кандидатов SMF 2.1), вы можете обновиться напрямую до 2.1.8 с помощью полного пакета обновления со страницы загрузки. Обратите внимание, что при этом способе потребуется переустановить все модификации. Поэтому, если вы уже используете SMF 2.1.0 или выше, рекомендуется применять обновления последовательно, а не использовать полное обновление.

Если у вас возникают проблемы со скачиванием обновления через панель администратора, вы можете загрузить его со страницы пакетов обновлений и установить через Менеджер пакетов, как обычный мод.

Дополнительную информацию смотрите в Онлайн-руководстве: патчи и обновления.

Оригинал: Анонс SMF 2.1.8 на официальном форуме

Уважаемые участники!

Simple Machines объявляет о завершении жизненного цикла ветки SMF 2.0. Разработка этой ветки полностью прекращена, а версия 2.0.19 стала её последним выпуском.

Всем пользователям SMF 2.0 рекомендуется перейти на SMF 2.1. В нашей wiki доступно руководство по обновлению SMF. Если вам потребуется помощь или рекомендации по переходу, вы можете обратиться в разделы поддержки SMF 2.1.

Участники со статусом Charter Member также могут открыть тикет и запросить помощь с обновлением форума.

Основные усилия разработчиков Simple Machines сейчас сосредоточены на разрабатываемой ветке SMF 3.0, при этом мы продолжаем поддерживать стабильную ветку SMF 2.1.

Спасибо, что используете SMF!

С уважением,
Simple Machines

Оригинал: https://www.simplemachines.org/community/index.php?topic=595117.0

Проект Simple Machines Forum выпустил обновление для SMF 2.1.x, который повышает номер версии до 2.1.7.

Основные изменения в SMF 2.1.7

• Удаление PHPSESSID
• Исправление очереди отправки почты
• Исправления поиска для типов mb3 и memory
• Исправления ошибок BBC
• Исправлены неработающие ссылки активации в Gmail
• Исправлена ошибка обработки изображений/аватаров, вызванная отсутствующими MIME-обработчиками
• Исправления SCEditor
• Исправления системы пользовательских уведомлений
• Исправления кэширования
• Исправления обновления Unicode
• Исправления определения прокси
• Прочие исправления ошибок

Дополнительную информацию можно найти в списке изменений на GitHub.

Как обновиться до версии 2.1.7

Если вы используете версию 2.1.6, вы можете обновиться через Менеджер пакетов (Центр администрирования > Менеджер пакетов). Там должно появиться уведомление о версии 2.1.7 с ссылкой «обновить форум». Если уведомление не появилось, выполните задачу "Получить файлы Simple Machines" на странице Запланированные задачи (Центр администрирования > Обслуживание > Запланированные задачи), затем попробуйте снова.

Если вы сейчас используете любую версию от 2.1.0 до 2.1.5, можете использовать описанный выше процесс, последовательно применяя предыдущие патчи обновлений, пока не достигнете версии 2.1.7.

Если вы используете любую более старую версию SMF (включая SMF 1.x, SMF 2.0.x или одну из бета-версий/релиз-кандидатов SMF 2.1), вы можете обновиться напрямую до 2.1.7 с помощью полного пакета обновления со страницы загрузки. Обратите внимание, что при этом способе потребуется переустановить все модификации. Поэтому, если вы уже используете SMF 2.1.0 или выше, рекомендуется применять патчи последовательно, а не использовать полное обновление.
Если у вас возникают проблемы со скачиванием патча через панель администратора, вы можете загрузить его со страницы пакетов обновлений и установить, как обычный мод.
Дополнительную информацию смотрите в Онлайн-руководстве: патчи и обновления.

Оригинал: https://www.simplemachines.org/community/index.php?topic=593921.0

Проект Simple Machines Forum выпустил обновление для SMF 2.1.x, теперь актуальная версия SMF 2.1.6.

Этот патч исправляет несколько ошибок, найденных в версии 2.1.5:

• Исправлена ошибка "Undefined variable $sid", возникавшая, когда пользователь с отключёнными cookies посещал форум при включённых URL без параметров.
• Исправлена ошибка запроса к базе данных, возникавшая в MariaDB при попытке выполнить поиск внутри темы.
• Исправлена ошибка при разборе BBCode.

---

Дополнительную информацию можно найти в списке изменений на GitHub.

Как обновиться до версии 2.1.6
Если вы используете версию 2.1.5, вы можете обновиться через Менеджер пакетов (Центр администрирования > Менеджер пакетов). Там должно появиться уведомление о версии 2.1.6 с ссылкой «обновить форум». Если уведомление не появилось, выполните задачу "Получить файлы Simple Machines" на странице Запланированные задачи (Центр администрирования > Обслуживание > Запланированные задачи), затем попробуйте снова.
Если вы используете версию от 2.1.0 до 2.1.4, вы можете последовательно применять обновления по описанному выше процессу, пока не достигнете версии 2.1.5.
Если вы используете любую более старую версию SMF (включая SMF 1.x, SMF 2.0.x или одну из бета-версий/релиз-кандидатов SMF 2.1), вы можете обновиться напрямую до 2.1.6 с помощью полного пакета обновления со страницы загрузки. Обратите внимание, что при этом способе потребуется переустановить все модификации. Поэтому, если вы уже используете SMF 2.1.0 или выше, рекомендуется применять патчи последовательно, а не использовать полное обновление.
Если у вас возникают проблемы со скачиванием патча через панель администратора, вы можете загрузить его со страницы пакетов обновлений и установить, как обычный мод.
Дополнительную информацию смотрите в Онлайн-руководстве: патчи и обновления.

Оригинал: https://www.simplemachines.org/community/index.php?topic=592074.0