10 / Безопасность

Сайт сломался после обновления PHP: находим причину и возвращаем работу

Хостинг сменил PHP, и сайт перестал открываться или в нём не работают формы, админка, оплата. Откатываться на старую версию не всегда есть куда: именно она и содержит уязвимость. Правильный путь: понять, что именно не совпало с новой версией, и поправить.

Обновлено

Узнать, затронут ли ваш сайт

Оставьте адрес сайта и телефон. Перезвоним в течение 30 минут и скажем, что нашли и что делать.

Нажимая кнопку, вы соглашаетесь с политикой обработки персональных данных, политикой cookie и договором оферты.

Что известно на 22 октября 2026
  • 21 октября разработчики PHP опубликовали бюллетень безопасности: две критические уязвимости, CVE-2026-109618 и CVE-2026-109619, позволяют выполнить код на сервере без авторизации.
  • Исправлены в PHP 8.5.12, 8.4.27, 8.3.36 и 8.2.35.
  • PHP 8.1 и старше обновлений от проекта не получают. Для 7.4, 8.0 и 8.1 выложены минимальные исходные исправления, а дистрибутивы и поставщики LTS-поддержки могут выпускать свои пакеты.
  • По словам разработчиков, полностью закрывает уязвимости только обновление. Временные меры снижают риск, но не делают сервер безопасным.

Источник: бюллетень на php.net

Как это выглядит

  • Белый экран на всех страницах или на части.
  • Ошибка 500 или сообщение «Критическая ошибка на сайте».
  • В журнале ошибок Fatal error: Call to undefined function или Uncaught Error.
  • Не открывается админка, не отправляются формы, не проходит оплата.

Как чиним

  • Читаем журналы PHP и веб-сервера и находим файл и строку, на которых всё падает.
  • Определяем, чей это код: ваш, темы, плагина или модуля.
  • Исправляем код, обновляем или заменяем компонент.
  • Проверяем главные сценарии: формы, корзину, оплату, вход в админку.
  • Оставляем журнал ошибок включённым только в файл, а не на экран посетителя.

Чего мы не делаем

Не возвращаем сайт на уязвимую версию PHP без объяснения риска. Если откат неизбежен на время работ, он допустим только на сборку с исправлением и вместе с временными мерами защиты.

Проверим ваш сайт

Стоимость называем после проверки, до начала работ. Пока ничего не оплачиваете и доступов не передаёте. Перезваниваем в течение 30 минут.

Узнать, затронут ли ваш сайт

Оставьте адрес сайта и телефон. Перезвоним в течение 30 минут и скажем, что нашли и что делать.

Нажимая кнопку, вы соглашаетесь с политикой обработки персональных данных, политикой cookie и договором оферты.

Другие страницы раздела

Проверка сайта на уязвимость PHP

Узнаем, какая версия PHP работает на вашем сайте на самом деле и закрыта ли CVE-2026-109618 / 109619.

Сайт на PHP 7.4, 8.0, 8.1: закрыть уязвимость

Для PHP 8.1 и старше стандартных обновлений нет. Подберём патч или переведём сайт на PHP 8.2+.

WordPress: обновление PHP без «критической ошибки»

Обновим PHP под WordPress, проверим темы и плагины на совместимость, не уроним форму и корзину.

1С-Битрикс: обновление PHP и защита от CVE-2026-109618

Безопасно обновим PHP на BitrixVM и своём сервере, проверим модули, обмен с 1С и заказы.

ispmanager: обновление версий PHP на сервере

Найдём, какие версии PHP работают у сайтов в ispmanager, обновим их и проверим результат.

Временные меры, если PHP нельзя обновить сегодня

Применим рекомендованные разработчиками PHP ограничения и настроим лимиты на веб-сервере. Это не замена обновлению.

Сайт взломали: чистка и восстановление

Найдём и удалим шеллы и подмену файлов, сменим доступы, закроем дыру и проверим соседние сайты.

Laravel, Yii, Symfony: обновление PHP на своём сервере

Обновим PHP на VDS и в Docker, перезапустим воркеры и очереди, проверим проект на ошибки на новой версии.

Обновление PHP на десятках сайтов сразу

Для студий и компаний с парком сайтов: опись, приоритеты, пакетное обновление и отчёт по каждому проекту.