Сайт на PHP в Беларуси: что проверить после октябрьских ошибок

Три бюллетеня PHP за одну неделю плохо ложатся на типовой сайт компании: интернет-магазин, лендинг с формой, личный кабинет. Ниже не пересказ CVE, а порядок, которым мы сами пользуемся, когда клиент пишет «хостер сказал, что обновил».

Сначала версия, потом новости

Номер из футера WordPress ничего не говорит про PHP. Нужен вывод php -v из той же среды, которая отвечает на HTTP, либо письмо поддержки с версией и датой перезапуска. Годится 8.2.35, 8.3.36, 8.4.27, 8.5.12. Всё, что ниже 8.2, этими релизами не закрыто. На общем хостинге в Минске это до сих пор встречается: сайт живёт, потому что «не трогайте, а то отвалится модуль оплаты».

Порядок на эту неделю

• Узнать версию PHP именно веб-сайта, не CLI на своём ноутбуке.
• Если версия поддерживаемая - обновить до сборки от 21 октября и дождаться перезапуска воркеров.
• Если 8.1 или старше - спросить хостера про бэкпорт. Нет бэкпорта и сайт доступен извне - снимать с публикации, пока его нет. Так написала CISA, и для витрины с формами это здравый совет.
• Проверить, что session.upload_progress.enabled выключен. Октябрьский патч третью ошибку не чинит.
• Посмотреть каталог загрузок и свежие php-файлы, которых вы не выкладывали. Патч не откатывает то, что уже записали.

Разбор каждой ошибки отдельно: нехватка памяти, чужое состояние воркера, прогресс загрузки. Если после обновления файлы всё равно появляются, это уже не задача хостинга «посмотреть логи когда-нибудь».