20 октября разработчики PHP опубликовали информацию о предстоящих обновлениях безопасности, которые будут выпущены 21 октября 2026 года в 17:00 (МСК). Обновления с исправлениями будут доступны для PHP 8.2, 8.3, 8.4 и 8.5.
Сторонние исследователи предложили использовать параметр session.upload_progress.enabled = Off для смягчения последствий выявленной уязвимости до публикации обновлённых версий. Также существуют рекомендации по блокировке загрузки файлов на сервер.
Около 12:00 (МСК) на всех серверах виртуального хостинга мы установили параметр session.upload_progress.enabled = Off и ожидаем исправлений от разработчиков PHP. Как только они будут опубликованы, мы выполним сборку новых версий и установим их на серверы (ожидаем, что это будет сделано 21 октября до конца дня ).
Также мы планируем перенести патчи в более старые версии PHP (с 5.2 по 8.1), если уязвимость затрагивает и их. Однако разработка и тестирование патчей могут занять несколько дней, поэтому при наличии возможности перейдите на более современную версию PHP по инструкции: https://lite.host/faq/hosting/izmenenie-versii-php
Если ваш сайт работает на старой версии PHP или вы получили это сообщение до установки исправлений безопасности (21 октября в 17:00), рекомендуем добавить в начало файла .htaccess следующие правила для блокировки запросов на загрузку файлов:
RewriteEngine On
RewriteCond %{HTTP:Content-Type} multipart [NC]
RewriteRule ^ - [F,L]
Мы будем дополнять данное сообщение по мере поступления новостей.