PHP-ийн яаралтай шинэчлэл (2026 оны 10-р сарын 21): WordPress зэрэг жижиг, дунд үйлдвэр (ЖДҮ)-ийн вэбсайтад өнөөдөр шалгах 4 зүйл

2026 оны 10-р сарын 21-ний орой (Японы цагаар) вэбсайтын суурь болгон өргөн ашиглагддаг програмчлалын хэл «PHP»-ийн ноцтой 2 алдааны засвартай хувилбар нийтлэгдлээ. Ноцтой байдлын үзүүлэлт (CVSS v4.0) нь 9.2 бөгөөд 4 түвшний хамгийн өндөр нь болох «Яаралтай (Critical)» түвшинд хамаарна. Японд ч Sakura Internet, Xserver, GMO Pepabo зэрэг сервер үйлчилгээ үзүүлэгчид мөн өдөр нь яаралтай засвар үйлчилгээ хийж, зарим компани вэбсайт болон үйлчилгээгээ түр зогсоож арга хэмжээ авсан.

Энэ нийтлэлд WordPress зэргээр хийсэн вэбсайттай жижиг, дунд үйлдвэрүүдэд зориулан өнөөдөртөө багтаан шалгах зүйлс-ийг 4 болгон товчлон нэгтгэлээ. Мэргэжлийн нэр томьёог аль болох хэрэглэхгүй байхыг хичээж, сервер үйлчилгээ үзүүлэгч болон вэбсайт хийсэн компаниас хэрхэн асуух жишээг ч шууд оруулсан.

1. Юу болов?

PHP-ийн хөгжүүлэгч (The PHP Group) 2026 оны 10-р сарын 20-нд «ноцтой 2 алдааны засвартай хувилбарыг 21-ний 14 цагт (UTC, Японы цагаар 23 цагт) нийтэлнэ» гэж урьдчилан мэдэгдэж, 21-нд нийтэлсэн. Алдааны дугаарууд нь CVE-2026-109618 болон CVE-2026-109619. Ноцтой байдлын үзүүлэлт (CVSS v4.0) нь хоёулаа 9.2 / 10.

Хоёулаа нэвтрээгүй халдагч зориуд бэлтгэсэн өгөгдөл илгээснээр сервер дээр дурын програм ажиллуулах (= серверийн хяналтыг булаан авах) боломжтой алдаанууд юм. Хөгжүүлэгч «Вэбийн хүсэлт хүлээн авдаг бүх PHP орчин (PHP-FPM, Apache-ийн mod_php, php-cgi, FrankenPHP, LiteSpeed) хамаарна» гэж үзсэн бөгөөд ялангуяа Apache-ийн mod_php дээр «аппликейшний код ажиллахаас өмнө, нэвтрэх шаардлагагүй хүсэлтээр л халдлага амжилттай болохыг баталгаажуулсан» гэжээ. WordPress зэргийн нэмэлт өргөтгөл эсвэл үндсэн хэсгийг шинэчилсэн ч PHP-ийн үндсэн хэсгийг шинэчлэхгүй бол асуудал засагдахгүй.

Хөгжүүлэгч сан (The PHP Foundation) нийтлэх үед «бодитоор ажилладаг халдлагын код илрээгүй» гэсэн ч алдааг илрүүлэгчийн шалгалтын видео андуурч нийтлэгдэн тархсан тул халдлагын код боловсруулалт хурдассан гэж тайлбарласан. Японы кибер аюулгүй байдлын компани (GMO Flatt Security) ч ашиглах боломжтой гэх код интернэтэд тархаж эхэлснийг мэдээлсэн.

Японд IPA (Японы Мэдээллийн технологийн сурталчилгааны агентлаг) 10-р сарын 21-нд «PHP ашиглаж буй системүүдээ тооллого хийж, нийтлэгдсэний дараа даруй шинэчлэх бэлтгэлээ хангах»-ыг уриалсан (IPA мөн өдрийн байдлаар алдааг ашигласан халдлага илрээгүй гэж мэдэгдсэн).

2. Танай компанийн вэбсайт хамаарах уу?

Юуны өмнө PHP дээр ажиллаж байгаа эсэхээс хамаарч ялгаатай.

• Хамаарах магадлал өндөр: WordPress, EC-CUBE, Movable Type (PHP хувилбар), Laravel зэргээр хийсэн сайтууд. Түрээсийн сервер дээр ажилладаг компаниудын вэбсайтын ихэнх нь үүнд хамаарна.
• Хамаарах магадлал бага: зөвхөн HTML-ээр хийсэн статик сайтууд, Wix, Jimdo, STUDIO, Shopify зэрэг бүх зүйлийг үйлчилгээ үзүүлэгч тал удирддаг сайтууд. Эдгээр нь PHP-г өөрсдөө ажиллуулдаггүй тул хэрэглэгчийн талаас хийх ажил үндсэндээ байхгүй (үйлчилгээ үзүүлэгчийн авч буй арга хэмжээг компани тус бүрийн мэдэгдлээс шалгана уу).

Танай сайт алинд нь хамаарахыг мэдэхгүй бол вэбсайт хийсэн компаниасаа асуух, эсвэл сервер үйлчилгээ үзүүлэгчтэй байгуулсан гэрээ, удирдлагын самбараа харах нь хамгийн найдвартай. WordPress бол удирдлагын самбарын хаяг нь «…/wp-admin/» гэж байдгаар нь таньж болно.

3. Өнөөдөртөө багтаан шалгах 4 зүйл

1. Сервер үйлчилгээ үзүүлэгчийн «мэдэгдэл»-ийг харах. Xserver, Sakura Internet, Lolipop (GMO Pepabo) зэрэг түрээсийн серверийн үйлчилгээ үзүүлэгчид 10-р сарын 21-нээс эхлэн яаралтай засвар үйлчилгээний мэдэгдэл гаргаж байна. Сервер талд PHP-г засвартай хувилбараар сольж өгөх бол харилцагч талаас хийх ажил үндсэндээ шаардлагагүй. Гэхдээ 21-ний байдлаарх мэдэгдлүүдийн заримд «юуг, аль хувилбар хүртэл зассан» нь бичигдээгүй байна. Мэдэгдлийн хамгийн сүүлийн нэмэлт мэдээлэл-ээс «засвартай хувилбар (8.2.35 буюу түүнээс дээш) руу шинэчлэлт дууссан» гэдгийг баталгаажуулах хүртэл асуудал шийдэгдсэн гэж бүү бодоорой.
2. Ашиглаж буй PHP-ийн хувилбарыг харах. Түрээсийн серверийн удирдлагын самбарт «PHP хувилбар солих» гэх мэт цэс байдаг. Харагдаж буй хувилбар нь засвартай хувилбар (8.5.12 / 8.4.27 / 8.3.36 / 8.2.35) эсвэл түүнээс шинэ эсэхийг шалгана уу. 8.1, 8.0, 7.4 болон түүнээс өмнөх хувилбаруудын хөгжүүлэгчийн дэмжлэг дууссан тул ердийн засвартай хувилбар гараагүй (хөгжүүлэгч зөвхөн эх кодын хамгийн бага засварыг нийтэлсэн бөгөөд сервер үйлчилгээ үзүүлэгч эсвэл үйлдлийн систем (OS)-ийн нийлүүлэгч өөрсдөө үүнийг хэрэгжүүлэх тохиолдол бий). Үндсэндээ 8.2 буюу түүнээс дээш хувилбарын засвартай хувилбар руу шилжинэ (дараагийн зүйлийг үзнэ үү).
3. Хуучин хувилбар бол вэбсайт хийсэн компани эсвэл засвар үйлчилгээний компанидаа хандах. Хувилбарыг ахиулахад хуучин загвар (тема) болон нэмэлт өргөтгөл (плагин) ажиллахаа больж болзошгүй. Өөрөө шилжүүлэхээсээ өмнө сайтыг хийсэн компани эсвэл засвар үйлчилгээ хариуцуулсан компанидаа доорх эх бичвэрээр хандана уу.
4. WordPress бол нөөц хуулбар авч, үндсэн хэсэг болон нэмэлт өргөтгөлүүдийг шинэчлэх. Энэ удаагийн алдаа нь PHP-ийн үндсэн хэсгийнх боловч энэ боломжийг ашиглан нөөц хуулбар авсан эсэх, WordPress-ийн үндсэн хэсэг болон нэмэлт өргөтгөлүүд хамгийн сүүлийн хувилбартай эсэхийг ч шалгана уу. Ашиглахгүй байгаа нэмэлт өргөтгөлүүдийг устгана.

Шууд шинэчлэх боломжгүй тохиолдолд хөгжүүлэгч түр зуурын бууруулах арга хэмжээг (сешн дэх файл илгээлтийн явцын функцийг унтраах, санах ойн дээд хязгаарыг цуцлах, хүлээн авах илгээлтийн өгөгдлийн хэмжээг хязгаарлах гэх мэт) зааж өгсөн ч «эдгээрийг хийсэн ч аюулгүй болохгүй», «бүрэн бууруулах арга хэмжээ байхгүй, зөвхөн шинэчлэл л аюулгүй сонголт» гэж тодорхой мэдэгдсэн.

4. Засвар хэрэгжих хүртэлх «орох хаалганы хамгаалалт»: Cloudflare-ийн жишээ

Энэ удаад засвартай хувилбар нийтлэгдэхээс өмнө алдааны мэдээлэл задарч, халдлагын урсгал эхэлсэн байв. Засвартай хувилбар гарснаас хойш сервер бүрт хэрэгжих хүртэлх хугацаанд «хамгаалалтгүй хугацаа» зайлшгүй үүсдэг. Энэ хугацааг нөхдөг нь сайтын орох хаалган дээр байрлуулдаг хамгаалалтын үйлчилгээ (WAF) юм.

Дэлхий даяар ашиглагддаг Cloudflare 10-р сарын 21-ний албан ёсны блогтоо олон нийтэд нийтлэгдэхээс ойролцоогоор 9 цагийн өмнөөс (Японы цагаар 21-ний үд орчмоос) хамгаалалтын дүрмүүдээ түгээж, харилцагчдынхаа сайтыг онилсон халдлагын урсгалыг илрүүлэн хааж байсан гэж мэдэгдсэн. Үнэгүй багцыг оролцуулаад WAF ашиглаж буй бүх багцад автоматаар түгээгдсэн гэжээ.

Гэхдээ Cloudflare өөрөө ч «WAF нь шинэчлэлийг орлохгүй» гэдгийг онцолсон. Алдаа нь PHP-ийн үндсэн хэсэгт байгаа тул үндсэн шийдэл нь PHP-г шинэчлэх явдал юм. Cloudflare шиг орох хаалганы хамгаалалт нь шинэчлэл дуустал хохирлыг багасгах даатгал бөгөөд «суулгачихвал заавал аюулгүй» гэсэн зүйл биш. «Орох хаалганы хамгаалалт (WAF)» + «PHP, WordPress-ийг тогтмол шинэчилдэг засвар үйлчилгээ» хоёулаа бүрдсэн үед л жинхэнэ хамгаалалт болно.

5. Вэбсайт хийсэн компани, сервер үйлчилгээ үзүүлэгчээс хэрхэн асуух вэ (шууд ашиглаж болно)

Тусгай мэргэжлийн ажилтангүй компани ч дараах эх бичвэрийг илгээвэл шаардлагатай зүйлээ ойлгуулж чадна.

Сервер үйлчилгээ үзүүлэгчийн хувьд тусламжийн төв рүү нь «PHP-ийн эмзэг байдал (CVE-2026-109618)-ын эсрэг авч буй арга хэмжээ болон гэрээгээр ашиглаж буй серверийн PHP хувилбарыг мэдэгдэнэ үү» гэж илгээхэд хангалттай.

6. Арга хэмжээ авсны дараа

Шинэчлэлт дууссаны дараа сайтын гол хуудсууд зөв харагдаж байгаа эсэх, холбоо барих маягт ажиллаж байгаа эсэхийг шалгана уу. Мөн серверийн хандалтын бүртгэлд 10-р сарын 21-нээс хойш танил бус их хэмжээний урсгал байгаа эсэхийг засвар үйлчилгээний компаниараа шалгуулбал илүү найдвартай.

PHP-д 2024 онд ч IPA анхааруулга гаргасан ноцтой алдаа (CVE-2024-4577) гарч байсан. Суурь програмын алдаа цаашид ч гарсаар байх болно. «Шинэчлэлийг хэн хариуцаж байгаа» нь тодорхойгүй сайтууд тэр болгонд хоцрогдон үлддэг. Аюулгүй байдлын арга хэмжээний 10 зүйлт шалгах хуудас-ны 9 дэх зүйл болох «гэрээт гүйцэтгэгчтэй үүрэг хуваарилах» асуудлыг энэ боломжийг ашиглан шийдэж авахыг зөвлөж байна.

LEONIA-гийн үнэгүй шалгалт

LEONIA нь вэбсайт PHP дээр ажиллаж байгаа эсэх, олон нийтэд нээлттэй мэдээллээс мэдэх боломжтой хүрээнд хувилбар болон тохиргоонд анхаарал татах зүйл байгаа эсэхийг үнэгүй шалгаж мэдэгдэж байна. Үр дүнг сервер үйлчилгээ үзүүлэгч болон вэбсайт хийсэн компаниасаа асуухад ашиглах материал болгон ашиглана уу. Арга хэмжээ шаардлагатай бол агуулгыг тайлбарласны дараа үнийн санал гаргаж өгнө.

Энэ нийтлэл нь хөгжүүлэгч болон төрийн байгууллагуудын нийтэлсэн материалд үндэслэсэн ерөнхий мэдээлэл юм (2026 оны 10-р сарын 22-ны байдлаар). Нөхцөл байдал өдөр бүр шинэчлэгдэж байгаа тул хамгийн сүүлийн мэдээллийг эх сурвалжаас шалгана уу. Тухайн нөхцөл байдалд тохирсон арга хэмжээний талаар мэргэжилтэнтэй зөвлөлдөнө үү.

Эх сурвалж: The PHP Group «Upcoming Critical PHP Security Release» (2026 оны 10-р сарын 20), «PHP 8.5.12 / 8.4.27 / 8.3.36 / 8.2.35 Released» (2026 оны 10-р сарын 21) / php-src аюулгүй байдлын зөвлөмж GHSA-6wmf-4rv5-p3rp (CVE-2026-109619) / The PHP Foundation «Today's PHP Security Release» (2026 оны 10-р сарын 21) / IPA «[Урьдчилан бэлтгэх хүсэлт] PHP-ийн аюулгүй байдлын шинэчлэлийн нийтлэх төлөвлөгөөний тухай» (2026 оны 10-р сарын 21) / CISA «Critical Vulnerabilities in PHP Require Immediate Patching» (2026 оны 10-р сарын 21) / ITmedia NEWS «PHP-ийн "яаралтай" түвшний эмзэг байдал: хөгжүүлэгч засвартай хувилбар нийтэллээ» (2026 оны 10-р сарын 22) / GMO Flatt Security «PHP-ийн ноцтой эмзэг байдал "php2shell"-ийн тойм ба арга хэмжээний чиглэл» (2026 оны 10-р сарын 21) / Cloudflare «Cloudflare deploys protections against php2shell vulnerability» (2026 оны 10-р сарын 21) / Sakura Internet «Яаралтай засвар үйлчилгээ хийх тухай мэдэгдэл» (2026 оны 10-р сарын 21) / IPA «PHP-ийн эмзэг байдлын эсрэг арга хэмжээний тухай (CVE-2024-4577)» (2024 оны 7-р сарын 5)