В PHP обнаружены две критические дыры,Хуже всего то, что сидят дыры не в самом сайте, а глубже – в языке, на котором он написан.

 Да, компания **ISPsystem** (разработчик ISPmanager, VMmanager и BILLmanager) уже отреагировала на инцидент и выпустила оперативные обновления [[77]]. Однако здесь есть критически важный нюанс: уязвимость **PHP2Shell** (CVE-2026-109618 и CVE-2026-109619) находится в самом ядре интерпретатора PHP, а не в коде панели управления [[28]]. 

Поэтому «патч для ISPmanager» не является волшебной таблеткой, которая исправит всё одной кнопкой. По данным отраслевых источников, выпущенное обновление является промежуточным и направлено в первую очередь на защиту внутренних процессов самой панели, но не отменяет необходимости администрирования PHP на сервере [[75]].

Вот пошаговый алгоритм действий, который необходимо выполнить прямо сейчас в интерфейсе ISPmanager:

### 1. Обновление альтернативных версий PHP (Основное решение)

Если ваши сайты работают на поддерживаемых ветках PHP, их нужно обновить до версий, содержащих исправление (8.2.35, 8.3.36, 8.4.27 или 8.5.12) [[47]].

* Зайдите в ISPmanager под пользователем **root**.

* Перейдите в раздел **Настройки** → **Конфигурация ПО** → **Альтернативные версии PHP** [[9]].

* Если обновленные пакеты уже доступны в репозитории вашей ОС (или в мастере установки ISPmanager), выберите нужную версию и нажмите «Изменить» или «Обновить», чтобы подтянуть исправленную сборку [[11]].

### 2. Экстренный харденинг для старых версий (PHP 8.1, 7.4, 5.6)

Для версий, которые официально больше не поддерживаются разработчиками PHP и не получат полноценного бэкпорта, необходимо применить временную меру защиты, которая ломает цепочку эксплуатации эксплойта [[53]].

* В том же разделе **Альтернативные версии PHP** зайдите в настройки каждой установленной старой версии.

* Найдите параметр `session.upload_progress.enabled` и установите его в значение **Off** (или `0`) [[79]].

* Убедитесь, что это применение ко всем режимам обработки (Apache module, CGI, FPM), которые используются на сервере.

* Сохраните изменения. Панель должна автоматически перезапустить соответствующие службы PHP-FPM или Apache [[9]].

### 3. Защита внутренних процессов самой панели

Сама панель ISPmanager использует свой собственный системный PHP для работы интерфейса и фоновых задач, и она также уязвима [[7]]. 

* Убедитесь, что вы применили описанное выше отключение `session.upload_progress.enabled` не только для клиентских сайтов, но и к основному системному файлу `php.ini`, который использует панель (обычно находится в `/etc/php/.../php.ini` или специфичной директории ISPsystem).

* Перезапустите службы панели, если это требуется документацией для вашей версии ISPmanager.

### 4. Дополнительная мера на уровне веб-сервера (Nginx/Apache)

Если на каком-либо сайте не требуется загрузка файлов пользователями, вы можете добавить правило блокировки таких запросов до того, как они дойдут до PHP.

* В настройках веб-сервера через ISPmanager (или вручную в конфигурационных файлах виртуальных хостов) добавьте для Nginx:

  ```nginx

  if ($http_content_type ~* "multipart/form-data") {

      return 403;

  }

  ```

  Это предотвратит передачу вредоносных multipart-запросов, которые являются триггером для данной уязвимости [[53]].

### Резюме

Не полагайтесь только на факт выпуска обновления ISPmanager. **Ваша главная задача** — убедиться, что каждая версия PHP, запущенная на сервере (и для сайтов, и для нужд панели), либо обновлена до патченной версии, либо имеет отключенный параметр `session.upload_progress.enabled`. 

Рекомендуется также подписаться на официальный changelog ISPmanager или их каналы связи, так как ситуация динамичная, и компания может выпустить дополнительные скрипты автоматического исправления (бэкпорты) для устаревших версий в ближайшие дни [[77]].