Критические уязвимости в PHP: что должны сделать владельцы сайтов на UMI.CMS

21 октября 2026 разработчики PHP выпустили экстренные обновления, закрывающие две критические уязвимости (CVE-2026-109618, CVE-2026-109619). Они позволяют злоумышленнику выполнить произвольный код на сервере без авторизации. Атаки уже идут. Затронуты все версии PHP начиная с 5.x — то есть любой сайт, в том числе на UMI.CMS, работающий на необновлённых версиях PHP.

Важно: уязвимость не в UMI.CMS.
PHP — это серверное программное окружение. Оно устанавливается и обновляется на уровне сервера — хостингом или системным администратором, а не через обновление UMI.CMS. Обновление CMS эту уязвимость не закрывает, и мы, как разработчик CMS, не имеем доступа к вашему серверу.

Начиная с выпуска UMI.CMS версии 24 (сборка 92456 от 10 февраля 2025 года) наша система работает только на PHP 8.2 и выше, поддержка PHP 7 прекращена. Это было продиктовано соображениями безопасности. Мы многие годы рекомендуем обновлять ПО на актуальные версии.

Сайты, работающие на более старых версиях ПО уязвимы и мы крайне рекомендуем всем владельцам сайтов проконсультироваться со специалистами по этому вопросу.

Если ваш сайт работает на 8.1 или более старой версии
Это самая рискованная ситуация. Эти версии PHP давно сняты с поддержки, и готовых пакетов с исправлением для них не существует — разработчики PHP выпустили патчи только для поддерживаемых версий.
Варианты: уточнить у хостинга, выпустил ли он собственную исправленную сборку PHP (некоторые хостинги и дистрибутивы это делают) или перейти на PHP 8.2 и новее — это в любом случае максимально надёжный и долгосрочный вариант.

Кто за что отвечает
За обновление версии PHP и другого серверного ПО отвечает системный администратор вашего сервера (или вашего хостинг-провайдера).
За обновления и актуальность вашей версии UMI.CMS отвечает владелец лицензии CMS и разработчик вашего сайта.
За поддержку пользователей UMI.CMS отвечает наша Служба заботы (https://www.umi-cms.ru/support/)
Официальная информация разработчиков PHP, где имеет смысл следить за ситуацией: php.net

Что нужно сделать не откладывая
Перешлите этот текст тому, кто обслуживает ваш сервер: хостинг-провайдеру, системному администратору или компании-интегратору.
Попросите обновить PHP до исправленной версии ветки PHP 8.3.36 или 8.2.35
После обновления нужно штатно перезапустить службы, которые выполняют PHP: PHP-FPM или веб-сервер с встроенным PHP (например, Apache с mod_php). Пока эти службы не перезапущены, сайт продолжает работать на старой, уязвимой версии.
Проверить, что сайт реально обслуживается исправленной сборкой ПО и убедиться, что он работает.