Обновились? Пора, давно пора.
Главная практическая опасность заключается в том, что атака срабатывает на этапе разбора HTTP-запроса и очистки ресурсов до запуска любого кода вашего приложения, поэтому проверки авторизации, роутинг или защита внутри PHP-фреймворков от неё не спасут.
Под ударом находятся практически все веб-конфигурации PHP — PHP-FPM, Apache (mod_php), php-cgi, FrankenPHP и LiteSpeed на всех версиях младше пропатченных (включая старые ветки 7.4–8.1), причём для Apache с mod_php риск максимален из-за уже подтверждённого эксплойта, перехватывающего управление до старта скрипта.
Полного способа закрыть уязвимость настройками не существует — единственной надёжной защитой является немедленное обновление до версий PHP 8.5.12, 8.4.27, 8.3.36 или 8.2.35 (согласно журналу изменений PHP 8, исправляющих повреждение состояния при zend_bailout) либо установка бэкпортов от мейнтейнеров вашего Linux-дистрибутива.
https://www.php.net/archive/2026.php#2026-10-21-5
3
