21 октября 2026 года команда PHP выпускает внеплановое обновление безопасности. Час назначен на 14:00 UTC. В пакете два исправления, и каждой ошибке поставили 9.2 по CVSS 4.0 — это верх шкалы, не задача на следующую неделю.

Подробности держат закрытыми, пока патча нет в открытом доступе. Готовое описание в этот момент полезнее тому, кто собирает атаку, чем тому, кто обновляет сервер. Если текст утечёт или начнутся взломы, выпуск обещают сдвинуть раньше.

Кого это касается

Сайт, который отвечает через PHP: WordPress, Битрикс, своя форма, часть панелей хостинга. Если стек не помните, спросите того, кто сдавал сайт, или откройте панель и прочитайте версию PHP.

Оценка 9.2 не объясняет приём. Она говорит, что старую версию стоит оставить в день, когда пакет появится. Сравнение патча с предыдущим релизом обычно и делает суть очевидной — поэтому окно, в котором прод ещё на старой сборке, короткое.

Что сделать до релиза и сразу после

  • Понять, кто ставит обновления PHP: вы, хостинг или тот, кто ведёт сайт
  • Записать текущую версию до 14:00 UTC, чтобы потом было видно, сменилась ли она
  • Поставить пакет в день публикации, а не в ближайший плановый четверг
  • Открыть главную, форму заявки и оплату. Патч безопасности не должен молча сломать путь, с которого приходят заказы

Не ищите в чатах, как это воспроизвести. Пока исправления нет, такого разбора быть не должно. Если он всплыл — это как раз случай, когда релиз могут выкатить раньше объявленного часа.

Куда смотреть

Официальное сообщение команды PHP публикуют на php.net. Заметка, с которой начался этот текст, вышла на Хабре — ссылка на неё ниже. После выхода пакета проверка одна: версия на сервере совпала с выпущенной, сайт открывается, заявка доходит.