Вокруг PHP сейчас много шума: сообщения о хакерских атаках, критические уязвимости ядра и рекомендации временно отключать сайты. Попытки эксплуатации уже фиксируются, поэтому для команд, работающих с PHP, обновление стало срочной задачей.

В такой момент особенно важно, сколько времени проходит между выходом исправления и его установкой в работающем продукте. На этот срок напрямую влияет то, как команда поддерживала систему до появления угрозы.

Как наш проект встретил обновление

После выхода критического обновления PHP я оперативно перевёл наш Laravel-проект на исправленный релиз. Быстро пройти этот путь помогла регулярная, плановая работа с зависимостями и окружением.

Такие ситуации показывают, насколько проект готов к изменениям. Когда появляется серьёзная угроза, накопленные проблемы совместимости могут сильно задержать установку исправлений, и помешать плановому выполнению рабочих задач.

Что произошло

21 октября 2026 года разработчики PHP выпустили исправления двух уязвимостей, получивших 9,2 из 10 по CVSS v4.0 — критический уровень.

При успешной эксплуатации хакеры могут удалённо выполнять код без аутентификации, с правами PHP-процесса. Для бизнеса это риск доступа к данным и секретам приложения, изменения его работы и остановки сервиса.

CERT-EU призвал немедленно установить обновления. Если это невозможно, организациям рекомендовали рассмотреть изоляцию доступных из интернета приложений до установки и проверки исправлений. Аналогичный подход изложен в совместном заявлении ENISA и других европейских структур.

Британский NCSC также рекомендовал рассмотреть временное отключение систем, если оперативно обновиться или применить временные меры защиты невозможно.

Актуальность системы — обязанность Tech Lead

Поддерживать систему максимально близко к актуальным стабильным версиям — одна из обязанностей Tech Lead. Это касается всей цепочки: PHP, Laravel, Composer-пакетов, расширений и системных библиотек контейнера.

В эту работу входят оценка совместимости, планирование обновлений, поддержка сборки и согласованного окружения команды. Исправления безопасности должны попадать в продукт своевременно, а переходы между версиями — проходить с необходимыми проверками.

Если обновления откладывать, срочное исправление может превратиться в большую миграцию. Придётся одновременно устранять угрозу, разбирать устаревшие зависимости и адаптировать сборку.

Регулярная поддержка уменьшает объём изменений за один переход. Команде проще проверить результат и быстрее доставить исправление в работающий продукт.

Как я провёл обновление

Как Tech Lead Backend-отдела, я отвечал за весь переход — от конфигурации до production.

Обновил базовую Docker-сборку с исправленной и самой новой версией PHP, актуализировал конфигурационные файлы и Laravel, обновил рабочее окружение команды.

Далее поднял версию на dev-окружении для тестирования и после проверки перенёс изменения в production.

Вывод

Для меня это особенно важная профессиональная компетенция: поддерживать актуальность стека, учитывать совместимость и доводить изменения до эксплуатации.

Именно эта последовательная работа позволяет команде быстро реагировать на критические угрозы и сокращать время, в течение которого продукт остаётся уязвимым.

#Backend #DevOps #TechLead