24 сентября вышли обновления всех поддерживаемых веток PHP: 8.5.11, 8.4.26, 8.3.35 и 8.2.34. В них закрыты уязвимости — в том числе в OpenSSL и в PHP-FPM, который работает на большинстве хостингов и VPS. А для тех, кто сидит на PHP 8.2, есть новость важнее: до конца его поддержки осталось три месяца.
Что исправили
По журналу изменений PHP, в версии 8.2.34 среди прочего исправлены:
- OpenSSL — проверка имени сервера в TLS могла ошибочно принять сертификат, выписанный на другое имя, а специально подготовленный сертификат мог вызвать переполнение буфера;
- PHP-FPM — обход ограничения доступа по IPv6-адресам в настройке
listen.allowed_clients; - MySQLnd — чтение за границами данных в протоколе работы с MySQL;
- Phar и SOAP — переполнения при обработке специально подготовленных данных.
Аналогичные исправления вошли в 8.3.35, 8.4.26 и 8.5.11.
Что делать
- На обычном хостинге патч-версии обычно ставит сам хостинг, от вас ничего не требуется. Узнать точную версию можно в WordPress: Инструменты → Здоровье сайта → Информация → Сервер.
- На своём VPS обновите пакеты PHP средствами системы (
apt upgradeв Ubuntu и Debian) и перезапустите PHP-FPM. В Docker — пересоберите контейнер на свежем образе.
Наш вывод: PHP 8.2 пора менять
По графику поддержки php.net, ветка 8.2 получает только исправления безопасности и лишь до 31 декабря 2026 года. После этого уязвимости в ней закрывать перестанут. Если сайт работает на 8.2, запланируйте переход на 8.3 или 8.4 на октябрь–ноябрь, а не на последнюю неделю декабря: так останется время разобраться с плагинами, которые сломаются. Как проверить код заранее и что делать, если сайт упал, — в статье как обновить PHP на WordPress.
Источники: журнал изменений PHP 8, поддерживаемые версии PHP. Проверено 29 сентября 2026 года.
