BDU-2026-15187 в PHP касается 60% сайтов Топ-10 000

Затронуты сайты, у которых язык сервера — PHP. Версию PHP называют 37% из них, и у 87% назвавших она уязвима.

Топ-10 000 · стек известен у 7 156 сайтов · доли — от них · 22 октября, 19:24 мск

60 из каждых 100 сайтов Топ-10 000

Топ-10024%

Топ-100044%

Топ-10 00060%

Сколько сайтов уязвимо

Доли — от сайтов, назвавших версию PHP: 37% сайтов на PHP

Уязвимы86,5%версия ниже исправленной; 0,3% — сборки дистрибутива без исправления

Исправлены13,5%версия или пакет с исправлением

Перестали называть версию0%называли версию PHP и спрятали её после 24 сентября

8.51,8%исправлены с 8.5.1: 1,8%

8.44,4%исправлены с 8.4.16: 3%

8.39,2%исправлены с 8.3.29: 3,9%

8.213,8%исправлены с 8.2.30: 3,7%

8.14,3%исправлены с 8.1.34: 1,1%

8.01,5%выпуска нет

7.0–7.426%выпуска нет

5.1–5.638,3%выпуска нет

4.2–4.40,8%выпуска нет

Полоса и число — доля ветки среди назвавших версию; зелёное — исправленные в ветке.

1
Узнать версию PHP на сервере
Уязвим сам PHP, а не движок: обновление WordPress или 1С-Битрикс уязвимость не закрывает.
php -v
2
Обновить PHP до исправленной версии
8.5.1, 8.4.16, 8.3.29, 8.2.30 или 8.1.34. На хостинге версию переключают в панели.
3
Перезапустить PHP-FPM и веб-сервер
До перезапуска в памяти работает старая версия.
systemctl restart php-fpm

Исправления 24 сентября

Ветка	Уязвима	Закрыта
8.5	ниже 8.5.1	Есть выпуск с 8.5.1
8.4	ниже 8.4.16	Есть выпуск с 8.4.16
8.3	ниже 8.3.29	Есть выпуск с 8.3.29
8.2	ниже 8.2.30	Есть выпуск с 8.2.30
8.1	ниже 8.1.34	Есть выпуск с 8.1.34
8.0, 7.0–7.4, 5.0–5.6	все выпуски	Нет выпуска исправления не будет — переход на ветку с исправлением