Не меняйте версию PHP, пока не убедитесь, что её поддерживают ваша версия CS-Cart и установленные модули. Иначе магазин или его отдельные функции могут перестать работать.
Что произошло и насколько это опасно
В PHP обнаружили две серьёзные ошибки — CVE-2026-109618 и CVE-2026-109619. При определённых условиях злоумышленник может выполнить код на сервере без доступа к панели магазина. Исправления уже выпущены. Сообщение PHP.
Для бизнеса главный риск — доступ к данным и файлам, которые доступны процессу PHP.
С какой версии CS-Cart поддерживается PHP 8
PHP выпустил исправленные релизы для поддерживаемых веток начиная с 8.2. Для PHP 7.4, 8.0 и 8.1 возможны исправления, перенесённые поставщиком в старую ветку. Поэтому обновление CS-Cart не является обязательным условием устранения именно этих двух CVE, если хостинг подтвердил установленный пакет с обоими исправлениями.
| Ветка PHP | Поддержка в CS-Cart и Multi-Vendor начиная с |
|---|---|
| PHP 7.4 | 4.12.1 |
| PHP 8.0 | 4.15.1 |
| PHP 8.1 | 4.17.1 |
| PHP 8.2 | 4.18.1 |
| PHP 8.3 | 4.19.1 |
Если позже вы переходите на PHP 8.2, нужна CS-Cart или Multi-Vendor не ниже 4.18.1. Перед сменой версии проверьте тему, модули, расширения и доработки на тестовой копии. Системные требования CS-Cart.
Что делать, если магазин работает на PHP 7.4, 8.0 или 8.1
Обычная поддержка этих веток командой PHP завершена. Переход с PHP 7.4 на 8.0 сам по себе не возвращает магазин на поддерживаемую ветку. Статус устаревших версий PHP.
Для этого инцидента команда безопасности PHP предоставила минимальные исправления исходного кода для PHP 7.4, 8.0 и 8.1. Дистрибутивы и поставщики расширенной поддержки также могут выпускать свои пакеты. Это не означает, что исправления уже установлены на вашем хостинге, и не возобновляет обычную поддержку старых веток. Сообщение PHP о backport-исправлениях.
Если хостинг подтвердил, что установленный PHP содержит исправления обеих CVE, и перезапустил рабочие процессы, ради этого инцидента не требуется немедленно обновлять CS-Cart или менять ветку PHP. Однако старая ветка остаётся без обычной поддержки PHP: запланируйте отдельный переход на поддерживаемую версию. Если подтверждённого патча нет, срочно согласуйте с администратором обновление и временное ограничение публичного доступа.
План действий для владельца магазина
1. Проверьте вашу текущую версию CS-Cart и PHP
Если у вас CS-Cart 4.18.1 или выше и установлен исправленный PHP 8.2.35 или новее в ветке 8.2, по этим двум уязвимостям срочных действий не требуется. Сам номер версии 8.2 или 8.3 не означает, что исправления уже установлены.
Если ваш PHP версии 8.1 или ниже либо исправление для установленного PHP не подтверждено, продолжайте читать эту статью.
2. Проверьте статус исправлений на сервере
На обычном хостинге попросите провайдера подтвердить, что обе уязвимости — CVE-2026-109618 и CVE-2026-109619 — исправлены в PHP вашего сайта.
Если вы сами администрируете VPS, установите исправленный пакет PHP из надёжного репозитория или поручите это своему системному администратору. Проверьте по бюллетеню поставщика исправление обеих CVE, перезапустите процессы PHP, обслуживающие сайт, и убедитесь, что магазин использует обновлённый пакет. Версия PHP в командной строке может отличаться от версии веб-сервера.
Если установленный пакет содержит подтверждённые исправления для старой ветки PHP, менять PHP и CS-Cart немедленно ради этих CVE не требуется. Переход на поддерживаемую ветку запланируйте отдельно. Если исправлений нет и установить их нельзя, переходите к следующему шагу.
3. Проверьте совместимость вашей версии CS-Cart с более поздними версиями PHP
Для перехода на PHP 8.2 нужна CS-Cart не ниже 4.18.1. Если ваша версия CS-Cart соответствует этому требованию, а сайт работает на PHP 8.1 или ниже без подтверждённого исправления, советую в ближайшее время перейти на исправленный выпуск PHP 8.2. Перед сменой версии проверьте совместимость модулей и доработок.
4. Обновите CS-Cart
Если версия CS-Cart ниже 4.18.1, переходить напрямую на PHP 8.2 нельзя: это может привести к ошибкам и нестабильной работе магазина. Сначала запланируйте обновление CS-Cart.
Посмотрите, доступны ли обновления для вашей лицензии CS-Cart. Если обновление недоступно, рассмотрите продление лицензии на обновления.
Затем проверьте обновление и работу модулей на тестовой копии и только после этого переносите обновление на основной сайт.
5. Обновите PHP
После проверки совместимости установите исправленный выпуск PHP: 8.2.35 или новее в ветке 8.2 либо 8.3.36 или новее в ветке 8.3, если её поддерживает ваша версия CS-Cart. Затем проверьте витрину, оформление заказа и интеграции.
Помощь с обновлением CS-Cart и PHP
Larionov.tech помогает проверить окружение магазина, подготовить обновление CS-Cart на тестовой копии и определить, какие модули или доработки требуют адаптации. После перехода проверяем работу витрины, оформление заказа и интеграции.
При обращении пришлите адрес магазина, версию CS-Cart, версию PHP (если известна) и ответ хостинга по двум CVE. Эти данные помогут нам определить срочные действия и объём обновления.