Ошибка при сохранении новой записи

[meu3]

reg.ru провайдер. Отдает ошибку 403 от nginx и вылетает. На запрос к тп о причинах - ответ

Здравствуйте!
По информации из открытых источников:
https://www.securitylab.ru/news/579027.php
https://www.php.net/index.php#2026-10-20-1
https://habr.com/ru/news/1097016/
В PHP были найдены критические уязвимости CVE-2026-109618 и CVE-2026-109619, позволяющие выполнять bash-команды на любом веб-сервере, выполняющим PHP-скрипты.

Чтобы обезопасить сайты клиентов на виртуальном хостинге, мы временно ограничили загрузку файлов через multipart/form-data.
Из-за защитных мер безопасности на сайтах могут возникать проблемы с входом в админку сайта, с загрузкой файлов, работой отдельных форм и другими функциями, использующими соответствующие механизмы PHP.

Мы уже готовим обновления безопасности для PHP 8.2, 8.3, 8.4 и 8.5 и работаем над исправлениями для остальных версий PHP. Ориентировочно ограничения будут сохраняться в течение нескольких дней.

Приносим извинения за возможные неудобства и благодарим вас за понимание.

Сайт постоянно сканируют всякие боты в поисках уязвимостей. Не находят.
Не понятно как работать дальше, новые записи - не создаются. Кто-то сталкивался?

[Serdobolniy]

Добрый день, столкнулись все, обновите PHP до 8.4.27 или попросите обновить версию до актуальной Ваш хостинг, и всё заработает

[meu3]

Спасибо! Пока у reg.ru нет версии 8.4.27. Как только появится, переключусь и отпишусь.

[nruslan2]

8.3.36 тоже вроде должно работать!!

[Oleg]

может они закрыли уязвимость
В связи с поступившей информацией направляю правило детектирования и рекомендации по митигации уязвимостей CVE-2026-109618 и CVE-2026-109619 для последующей настройки на Ваших средствах защиты информации (СЗИ).

Детект:
Первая версия правила для митигаций уязвимостей CVE-2026-109618 CVE-2026-109619, на WAF3:
REQUEST_POST_ARGS . extract_keys Contains (Case-Insensitive) PHP_SESSION_UPLOAD_PROGRESS

Рекомендация:
В качестве дополнительной профилактической меры рекомендуем отключить PHP Session Upload Progress, если приложение не использует эту функцию:

session.upload_progress.enabled = 0

Данная функциональность по отчетам является предполагаемой точкой входа

Настройку нужно применить в конфигурации PHP, обслуживающего сайт, затем перезагрузить соответствующий PHP-FPM или Apache с mod_php. Проверить фактическое значение именно в веб-приложении — настройки PHP CLI могут отличаться.

Отключается серверное отслеживание прогресса загрузки; сам механизм загрузки файлов остаётся доступен. Функциональность приложения, зависящую от этого отслеживания, нужно проверить.

Эта настройка не является подтверждённой защитой от CVE-2026-109618 / CVE-2026-109619 и не заменяет установку исправленной версии PHP
А если они делали по этой статье https://www.opennet.ru/opennews/art.shtml?num=66516 то вообще upload может не работать

[Serdobolniy]

8.3.36 тоже вроде должно работать!!

Да, обновление безопасности получили версии: 8.2.35, 8.3.36, 8.4.27, 8.5.12: https://www.php.net/index.php#2026-10-21-4 После обновления версии до 8.4.27 - на хостинге, ошибка 403 при изменении/внесении данных/загрузке фалов пропала