Если PHP нельзя обновить сегодня: временные меры против CVE-2026-109618 и CVE-2026-109619

Меры из бюллетеня

• session.upload_progress.enabled=0 в php.ini или в настройках пула PHP-FPM, с перезапуском всех процессов. Через ini_set() и .user.ini это не работает.
• Небольшой post_max_size: 8M, если загрузки файлов сайту не нужны, и 32M, если нужны. upload_max_filesize держим ниже него.
• memory_limit=-1 через php_admin_value в настройках пула, чтобы приложения не вернули конечное значение.
• Лимиты на уровне веб-сервера или прокси: размер тела запроса, число полей, число частей multipart, число заголовков, глубина вложенности.
• Для PHP 8.5 дополнительно fatal_error_backtraces=0.
• Ограничение процессов средствами контейнера или cgroup, чтобы сбой затрагивал только рабочий процесс.

Что делаем мы

• Вносим настройки в нужный пул или конфигурацию, а не в файл, который PHP не читает.
• Перезапускаем рабочие процессы и проверяем, что значения действительно применились.
• Настраиваем лимиты на nginx, Apache или прокси.
• Ищем в коде ошибки и таймауты, которые может вызвать посторонний запрос, как советуют разработчики PHP.
• Даём срок, к которому нужно перейти на исправленную версию.

Что временные меры не дают

Они не делают сервер безопасным: по словам разработчиков PHP, это снижение вероятности отдельных сценариев, а не закрытие уязвимости. Поэтому временные меры мы подаём как выигрыш времени до обновления.