Как защитить php 5.6? Легко! (CVE-2026-109618 и CVE-2026-109619)

Все наверно слышал про найденные ИИшками новые уязвимости в php CVE-2026-109618 и CVE-2026-109619(кто нет гуглим)

Сайтов много и пока нет времени обновлять их всех. крч посовещался я тут с теми же ИИками и такое сделал.

у меня VestaCP + php5.6-fpm, настроки для сервера 32гб - 8 ядер, Debian

1). Ставим 555 на папки и 444 на файлы

cd /home/admin/web

find . -type f -name "*.php" -exec chmod 444 {} \;

find . -type d -exec chmod 555 {} \;

возвращаем права 755 на папки в которые идет добавление материала(картинки кеш и т.д.) в DLE например это uploads и /engine/cache/

для того что бы в этих папках нельзя было выполнить php код прописываем в nginx

location ~* ^/(uploads|img|torrent)/.*\.php$ {
    deny all;
    return 403;
}
location ~* ^/engine/cache/.*\.php$ {
    deny all;
    return 403;
}

2) php.ini

; Отключаем опасные функции, через которые запускаются шеллы на сервере
disable_functions = exec,system,passthru,shell_exec,proc_open,popen,curl_exec,curl_multi_exec,parse_ini_file,show_source

; Отключаем отслеживание прогресса загрузки файлов (частый вектор для Use-After-Free)
session.upload_progress.enabled = Off

; Запрещаем PHP открывать удаленные файлы (снижает риски инъекций)
allow_url_fopen = Off
allow_url_include = Off
post_max_size = 2M
upload_max_filesize = 2M
memory_limit = -1

у меня в VestaCP отдельные конфиги для fpm5.6 

/etc/php/5.6/fpm/pool.d/site.ru.conf

# ЗАЩИТА: Сбрасываем воркер после каждого запроса для очистки памяти
pm.max_requests = 1

# ЗАЩИТА: Срезаем максимальный размер загрузок до безопасных 2 МБ
php_admin_value[upload_max_filesize] = 2M
php_admin_value[post_max_size] = 2M

# ЗАЩИТА: Отключаем внутренний лимит памяти PHP для нейтрализации CVE-2026-109618
php_admin_value[memory_limit] = -1

[Service]
# Ограничиваем максимальное потребление памяти всей службой PHP-FPM до 8 ГБ
MemoryMax=8G
MemoryHigh=6G

перезагружаем все службы

systemctl restart php5.6-fpm

systemctl restart nginx

P.S.: Если у вас статический сайт без добавления новостей и коментов то можно просто запретить POST запросы и все

nginx

if ($request_method = POST) {
    return 444; # Сбросить соединение без ответа
}