mailcow 2026-10: PHP 8.2.35 закрывает две RCE-уязвимости

21 октября 2026 года опубликован mailcow 2026-10. Главное изменение выпуска — переход встроенного PHP на версию 8.2.35, которая исправляет CVE-2026-109618 и CVE-2026-109619.

Почему обновление важно

PHP относит обе уязвимости к критическим: они могут позволить удалённое выполнение кода без аутентификации. Первая связана с повреждением памяти при обработке нехватки памяти, вторая — с сохранением устаревшего глобального состояния между запросами. Исправления входят в PHP 8.2.35.

В mailcow изменение относится к контейнеру php-fpm-mailcow. Одновременно базовый образ переведён с Alpine 3.21 на Alpine 3.24, отключён неиспользуемый механизм session.upload_progress и изменена сборка PECL-расширений. Разработчики mailcow описывают отключение upload progress как дополнительное усиление защиты, а не как замену обновлению PHP.

Другие изменения выпуска

В состав mailcow 2026-10 также вошли SOGo 5.12.12 и Nginx 1.30.6. Кроме обновлений компонентов, релиз содержит изменения интерфейса и обновлённые переводы. Подробности об отдельных исправлениях SOGo и Nginx в release notes mailcow не приведены.

Что учитывать администраторам

Релиз предназначен для стабильной ветки mailcow. Поскольку исправления затрагивают PHP внутри комплекта, защита появляется после обновления самого mailcow до выпуска 2026-10. Собственных испытаний Удельта не проводила; сведения о проверках контейнера и веб-интерфейса приведены авторами проекта в связанном pull request.