PHP выпустил четыре обновления для устранения двух критических уязвимостей

Уязвимости зарегистрированы под номерами CVE-2026-109618 и CVE-2026-109619. Согласно предупреждению команды PHP, наибольший риск связан с серверами Apache, использующими модуль mod_php. В такой конфигурации атака может начаться ещё до выполнения кода самого сайта.

Каждый третий сайт на PHP использует старую версию

По данным W3Techs, PHP используют 69,3% сайтов, для которых известен серверный язык программирования. Статистика за 22 октября также показывает, какая доля ресурсов продолжает работать на старых версиях:

• PHP 7 – 26,9%;
• PHP 5 – 7,7%;
• PHP 4 – 0,1%.

В сумме на эти версии приходится 34,7% сайтов, использующих PHP, подсчитала редакция 15M. Все три ветки уже лишились регулярных обновлений безопасности от разработчиков языка, хотя хостинг-провайдеры могут предоставлять собственные исправления.

Эта статистика относится ко всему интернету и не позволяет отдельно оценить ситуацию на игорных сайтах.

PHP используется и в игорной индустрии

Согласно отчёту BuiltWith от 14 октября, 1 096 сайтов из категории Gambling & Betting используют WordPress 6.6. Это только одна версия CMS, работающей на PHP. Сайты на других версиях WordPress в указанное число не входят.

Для игорных операторов уязвимости могут представлять угрозу не только на основных сайтах. На PHP могут работать рекламные страницы, партнёрские порталы и промосайты, даже если сама букмекерская платформа построена на других технологиях.

Одного обновления WordPress недостаточно

Проблемы обнаружены в PHP, а не в конкретном плагине или теме WordPress. Поэтому обычного обновления CMS недостаточно, если на сервере осталась уязвимая версия языка.

Исправления вошли в PHP 8.2.35, 8.3.36, 8.4.27 и 8.5.12. Владельцам сайтов со старыми установками необходимо проверить используемую версию PHP и обновить её либо установить исправления от поставщика хостинга.