21 октября 2026 года вышли критические обновления безопасности сразу для нескольких ключевых компонентов современной веб-инфраструктуры: PHP, Node.js и GitLab. Незадолго до этого были опубликованы исправления NGINX и раскрыта компрометация сертификатов eMudhra. Некоторые обнаруженные уязвимости позволяют выполнять произвольный код на сервере без авторизации.
Ситуация достаточно серьёзная: проблемы затрагивают не отдельные CMS или плагины, а базовые компоненты, на которых работают миллионы сайтов, интернет-магазинов, API и корпоративных систем.
Разберём основные уязвимости и то, что необходимо проверить администраторам и владельцам веб-проектов.
PHP: критические RCE без авторизации
21 октября команда PHP выпустила экстренные исправления двух критических уязвимостей:
Обе проблемы потенциально позволяют злоумышленнику удалённо выполнить произвольный код на сервере без прохождения авторизации. Оценка серьёзности каждой — CVSS 9.2.
Особенно опасно то, что атака может происходить на уровне интерпретатора PHP, ещё до выполнения кода приложения.
Под угрозой могут оказаться сайты на 1С-Битрикс, Laravel, WordPress и других PHP-платформах. Наличие актуальной версии CMS само по себе не защищает от уязвимости интерпретатора.
Исправленные версии PHP:
Ветка | Безопасная версия |
|---|
PHP 8.2 | 8.2.35 |
PHP 8.3 | 8.3.36 |
PHP 8.4 | 8.4.27 |
PHP 8.5 | 8.5.12 |
Разработчики PHP прямо указывают, что полноценного альтернативного способа устранения угрозы нет — требуется обновление.
Для старых версий PHP необходимо проверить наличие исправлений у поставщика дистрибутива или перейти на поддерживаемую ветку.
Источник: PHP Security Advisory
NGINX: пять уязвимостей, включая потенциальное RCE
NGINX также получил серию исправлений безопасности. Три из пяти обнаруженных уязвимостей производитель F5 оценил в 9.2 балла по CVSS 4.0:
CVE-2026-15176 — переполнение буфера при использовании определённых комбинаций alias и rewrite.
CVE-2026-93479 — переполнение буфера при обработке выражений в конфигурации.
CVE-2026-97205 — использование памяти после освобождения (use-after-free) при асинхронных файловых операциях.
Ещё две проблемы связаны с HTTP/3 и TLS session tickets.
Последствия зависят от конфигурации: от аварийного завершения рабочих процессов и отказа в обслуживании до потенциального удалённого выполнения кода. Для RCE необходимы дополнительные условия, например отключённая или обойдённая защита ASLR.
Исправленные версии NGINX Open Source — 1.30.6 и 1.31.7.
Отдельно следует проверить NGINX Ingress Controller и другие продукты экосистемы F5: для них предусмотрены собственные версии исправлений.
Источник: NGINX Security Advisories
Node.js: 10 уязвимостей и проблема с Brotli
21 октября вышли обновления Node.js, устраняющие сразу десять уязвимостей различной степени критичности.
Наиболее серьёзная — CVE-2026-111497: ошибка записи за пределами буфера при декодировании Brotli, потенциально позволяющая выполнить произвольный код.
Другие исправления касаются:
проверки TLS-сертификатов;
обработки DNS-запросов;
генерации случайных значений;
работы HTTP-соединений;
ограничений доступа к файловой системе.
Исправленные версии:
Ветка | Безопасная версия |
|---|
Node.js 22 | 22.23.4 |
Node.js 24 | 24.22.1 |
Node.js 26 | 26.12.1 |
Это важно не только для приложений на Express, NestJS и других серверных фреймворках. Node.js широко применяется и в инфраструктуре сборки frontend-приложений, SSR и CI/CD.
Источник: Node.js Security Releases
GitLab: критическая уязвимость с максимальной оценкой CVSS 10.0
GitLab опубликовал внеочередное обновление безопасности для Community Edition и Enterprise Edition.
Главная проблема — CVE-2026-110264, получившая максимальную оценку 10.0 из 10.
Уязвимость связана с целочисленным переполнением при компиляции специально сформированного регулярного выражения. При определённых условиях злоумышленник может удалённо выполнить код на сервере GitLab без авторизации.
Дополнительно исправлены ещё 11 уязвимостей, включая ошибки аутентификации, контроля доступа и раскрытия внутренних данных.
Исправления выпущены для нескольких веток GitLab: 18.11.13, 19.0.10, 19.1.9, 19.2.9, 19.3.6, 19.4.3 и 19.5.1.
GitLab.com уже обновлён, а владельцам собственных инсталляций GitLab необходимо самостоятельно установить соответствующие исправления.
Источник: GitLab Critical Patch Release
eMudhra: проблема уже не в сервере, а в доверии к HTTPS
Отдельного внимания заслуживает инцидент с индийским удостоверяющим центром eMudhra.
17 октября стало известно о компрометации приватных ключей восьми промежуточных сертификатов центра сертификации. Причина — недостаточная криптографическая случайность при генерации ключей.
Это потенциально позволяло создавать поддельные HTTPS-сертификаты для чужих сайтов, которые могли восприниматься как доверенные клиентами, ещё не получившими необходимые обновления.
Google и Mozilla оперативно заблокировали скомпрометированные сертификаты. Исправления распространяются и на другие программные компоненты, использующие собственные наборы доверенных сертификатов.
Важный момент: использование HTTPS само по себе не гарантирует безопасность, если нарушено доверие к центру, выпустившему сертификат.
Пока нет оснований утверждать, что ключи были намеренно сгенерированы небезопасным способом или что компрометация привела к массовым успешным атакам.
Источники: Google Security Blog, Mozilla Security Blog
Что делать владельцам сайтов и веб-приложений?
Если ваша инфраструктура использует PHP, NGINX, Node.js или собственный GitLab, рекомендуем провести внеплановую проверку безопасности.
Минимальный план действий:
Проверить установленные версии. Учитывать не только основное окружение, но и отдельные PHP-FPM-пулы, Docker-контейнеры, фоновые процессы и CI/CD.
Подготовить резервную копию и план отката. Особенно важно для интернет-магазинов и других систем, где простой приводит к финансовым потерям.
Установить исправления безопасности. Не откладывать критические патчи до очередного планового обновления CMS или приложения.
Проверить совместимость. После обновления протестировать авторизацию, оплату, интеграции с CRM и 1С, API, очереди и фоновые задания.
Проверить журналы безопасности. Особое внимание уделить подозрительным запросам, аварийным завершениям процессов и неожиданным изменениям файлов.
Проверить актуальность сертификатов и доверенных хранилищ. В том числе для программных клиентов, интеграций и внешних API.
Обновление CMS или зависимостей приложения не заменяет исправления операционной системы, веб-сервера и среды выполнения.
Вывод
Октябрьские события ещё раз показывают, насколько безопасность современного веб-проекта зависит от сторонних компонентов.
Даже качественно разработанный сайт, защищённый от SQL-инъекций и распространённых атак на уровне приложения, может оказаться уязвимым из-за ошибки в PHP, NGINX или другом инфраструктурном компоненте.
Для коммерческих проектов это риск не только технического взлома, но и утечки персональных данных, остановки продаж, нарушения интеграций и потери доверия клиентов.
Безопасность сайта — это непрерывный процесс, а не разовая настройка после запуска.
В MSK.ONL мы занимаемся разработкой, модернизацией и техническим сопровождением веб-проектов на PHP, Laravel и 1С-Битрикс, включая аудит серверной инфраструктуры, обновление программного обеспечения и устранение технического долга.
MSK.ONL — разработка и сопровождение веб-проектов