Критическое обновление PHP: Ubuntu, Windows, РЕД ОС и Astra Linux

21 октября 2026 года проект PHP выпустил исправление двух критических уязвимостей: CVE-2026-109618 и CVE-2026-109619. Обе позволяют выполнить код на сервере до запуска кода vsDesk. Наибольший риск у связки Apache и модуля PHP, именно так vsDesk работает на Linux.

Обновите PHP сегодня. Перезапуск Apache обязателен: простой reload новый модуль не подхватывает. php.ini и ionCube при замене файлов не перезаписывайте.

Нужны сборки 8.2.35, 8.3.36, 8.4.27 или 8.5.12 — та же ветка, которая уже стоит. Переход с 8.3 на 8.5 не требуется. Официальное сообщение PHP: php.net, 21 октября 2026.

Во всех дистрибутивах vsDesk уже новые пропатченные версии PHP!

Ubuntu

На Ubuntu заплатка уже в репозитории. Номер в php -v может не измениться: Ubuntu вшивает исправление в текущую сборку и меняет только версию пакета.

sudo apt update
sudo apt upgrade 'php*' 'libapache2-mod-php*'
sudo systemctl restart apache2

Проверяйте версию пакета, а не строку php -v:

dpkg -l php8.5-cli php8.3-cli php8.1-cli 2>/dev/null | awk '/^ii/{print $2, $3}'

• Ubuntu 26.04, штатный PHP 8.5 — пакет не ниже 8.5.4-0ubuntu1.5. В php -v останется 8.5.4.
• Ubuntu 24.04, штатный PHP 8.3 — пакет не ниже 8.3.6-0ubuntu0.24.04.13. В php -v останется 8.3.6.
• Ubuntu 22.04, штатный PHP 8.1 — пакет не ниже 8.1.2-1ubuntu2.28.
• Ubuntu 24.04 и 24.10, PHP 8.5 из PPA Ondřej Surý (ppa:ondrej/php) — дождитесь в этом PPA пакета 8.5.12 и повторите команды выше. Готовые пакеты 8.2.35, 8.3.36, 8.4.27 и 8.5.12 уже лежат на packages.sury.org, зеркало Launchpad может отстать на несколько часов.

Ubuntu 20.04 новой сборки не получит: репозиторий Ondrej эту версию больше не собирает. Если apt не предлагает пакет с исправлением, не ставьте чужие deb с другой версии Ubuntu. Напишите в поддержку vsDesk.

Windows

Готовые архивы уже опубликованы на windows.php.net. Берите ту же ветку, разрядность x64 и тот же тип сборки, что стоит сейчас. Thread Safety смотрите командой php -i: если включена, архив без nts в имени, если выключена — с nts.

• PHP 8.2 — php-8.2.35-Win32-vs16-x64.zip
• PHP 8.3 — php-8.3.36-Win32-vs16-x64.zip
• PHP 8.5 — php-8.5.12-Win32-vs17-x64.zip

Каталог PHP в комплекте vsDesk: modules\php\PHP_8.2 или PHP_8.3, либо runtime\php\8.2 и runtime\php\8.3. На OSPanel это обычно C:\vsdesk\modules\php\PHP_8.3.

1. Остановите Apache или службу vsDesk, чтобы файлы PHP не были заняты.
2. Скопируйте каталог PHP целиком в соседнюю папку — это резервная копия.
3. Распакуйте архив поверх текущего каталога.
4. Верните из копии php.ini и файл ionCube (ioncube_loader_win_*.dll). Новый архив их не содержит, а подмена php.ini сбрасывает настройки vsDesk.
5. Запустите Apache снова и выполните php -v. Должна быть 8.2.35, 8.3.36, 8.4.27 или 8.5.12.

Ветки 8.1 и 7.4 официального архива для Windows не получили. Для них нужен переход на PHP 8.2 или новее, а не замена файлов внутри старого каталога.

РЕД ОС и Astra Linux

Пакетов с этой заплаткой в репозиториях пока нет.

• РЕД ОС 8, репозиторий php83 — последний пакет php-8.3.32. Версии 8.3.36 в каталоге нет. На РЕД ОС 7.3 верхняя сборка тоже 8.3.32.
• Astra Linux — в открытом репозитории по-прежнему PHP 8.2.29 от 3 июля 2026 года. Сборки 8.2.35 нет.

Не ставьте на РЕД ОС и Astra Linux пакеты Ubuntu, Debian или Remi. Модуль Apache и библиотеки другой системы не подойдут, установка vsDesk после этого может не запуститься. Сборку PHP из исходников на рабочем сервере тоже не запускайте.