31 октября 2026 года Anna Widenius опубликовала на mariadb.org заметку для хостингов и админов VPS: MariaDB Community Server 10.6 больше не получает исправления. Если база сайта всё ещё на этой серии, следующую дыру фонд для неё уже не закроет.
Серия снята с поддержки 6 июля 2026 года. Frédéric Descamps писал об этом 16 июня: после даты у Community Server 10.6 нет ни исправлений ошибок, ни выпусков безопасности. Последняя сборка, 10.6.28, вышла 13 августа. Версии 10.6.29 не будет.
На VPS с WordPress база стоит за nginx и PHP-FPM, и её трогают реже, чем PHP. Сайт открывается, VERSION() никто не смотрит. Повод для октябрьской заметки Widenius берёт из соседнего слоя. 21 октября проект PHP закрыл две дыры, через которые на сервере можно запустить чужой код: CVE-2026-109618 и CVE-2026-109619, вместе их называют PHP2Shell. Для PHP 7 официального исправления не было. Хостеры неделю обновляли PHP. База под ним часто осталась на старой LTS.
Четыре живые LTS и финал 10.6.28
Сейчас фонд сопровождает четыре серии Community. 10.6, 10.5 и 10.4 исправлений от MariaDB Foundation больше не получают. Сроки в заметке от 31 октября совпадают с июньским предупреждением и с квартальным постом от 25 августа.
- 12.3. GA 29 мая 2026 года, бинарники до 29 мая 2029, исходники до 2031. Сейчас 12.3.3.
- 11.8. GA 4 июня 2025 года, бинарники до 4 июня 2028, исходники до 2030. Сейчас 11.8.9.
- 11.4. GA 29 мая 2024 года, сопровождение до 29 мая 2029. Сейчас 11.4.13.
- 10.11. GA 16 февраля 2023 года, сопровождение до 16 февраля 2028. Сейчас 10.11.19.
- 10.6. GA 6 июля 2021 года, конец 6 июля 2026. Финал 10.6.28.
- 10.5 закончилась 24 июня 2025 года, финал 10.5.29.
11.8 кончается раньше, чем 11.4. С 11.8 у фонда годовые LTS: три года бинарников Community, у 11.4 ещё старый пятилетний срок. Исходники живут дольше бинарников, но на VPS ставят пакет, не дерево исходников. Номер ветки и длина поддержки здесь не совпадают. Кто берёт самую большую цифру, не получает самый длинный срок.
24 августа 2026 года вышли 12.3.3, 11.8.9, 11.4.13 и 10.11.19. Descamps на следующий день пишет прямо: 10.6 в этом списке нет специально. 10.6.28 от 13 августа годится, пока готовите переезд. Переезд он просит готовить сейчас.
Для хостинга фонд советует 11.8 или 12.3. 11.8 больше года в статусе GA, она есть в репозиториях Debian и Ubuntu LTS. На Debian 13 и Ubuntu 26.04 её кладут штатно. 12.3 берут, если миграция одна и нужен запас до мая 2029 года. Обе серии принимают прямой переход с 10.6, без остановки на 10.11 или 11.4. 10.11 и 11.4 при этом живые. На один VPS это тоже поддерживаемые серии, просто для платформы фонд зовёт выше.
Что закрыли 16 октября и почему 10.6.28 это потолок
В заметке 31 октября фонд собирает дыры, которые чинили в 2026 году, и отдельно выделяет октябрь. Почти для всего набора хватает учётки базы с низкими правами. На своём VPS такая учётка есть у WordPress: дыра открывается из того же подключения, которым сайт и так ходит в базу. На шаред-хостинге учётка есть у каждого клиента, и плагин работает от неё же.
Октябрьский набор фонд датирует 16 октября. Исправления вошли в 10.6.28, 10.11.19, 11.4.13, 11.8.9 и 12.3.3. Сборка 10.6.28 вышла 13 августа уже с патчами внутри, публично номера назвали в октябре. Для 10.6 это потолок. Следующий выпуск с исправлениями уйдёт в живые LTS, а сервер на 10.6 останется с тем, что найдут потом.
Если VERSION() уже 10.11.19, 11.4.13, 11.8.9 или 12.3.3, октябрьский серверный набор у вас есть. Более старую сборку той же серии догоняют своим квартальным пакетом: 11.8.8 поднимают до 11.8.9, на 12.3 ради этого не переезжают. Серия 10.6 и всё старше 10.11 из сопровождения фонда выпали. Ниже 10.6.28 нет и октябрьского набора. Фонд пишет, что 10.6.21 и 10.6.24 на старых образах хостинга всё ещё встречаются.
Что из октябрьского списка касается сайта на одном VPS:
- CVE-2026-92262, CVSS 9.9. Старый префикс имени таблицы
#mysql50#обходит кодирование имени файла. Фонд описывает прямой доступ к файлам на сервере и риск запуска чужого кода. Закрыто в 10.6.28 и в текущих LTS. - CVE-2026-85746, CVSS 9.9. Ошибка в
ST_AsText()на глубоко вложенных GIS-объектах: можно уронить сервер базы или запустить на нём чужой код (heap overflow). Закрыто там же. - CVE-2026-97380, CVSS 8.8. Через
GRANT PROXYучётка с низкими правами может сменить пароль другой учётке. Закрыто там же. - CVE-2026-86047, CVSS 7.7. Ошибка кавычек в выводе
SHOW CREATEиmariadb-dumpможет подложить SQL, который выполнится при восстановлении дампа. Закрыто там же. - CVE-2026-85985, CVSS 5.4. Файловые функции движка CONNECT не проверяют привилегию
FILE. Закрыто там же. - CVE-2026-107823 вместе с CVE-2026-107814, CVE-2026-107815, CVE-2026-107818 и CVE-2026-107821, CVSS 7.2. Специально собранное имя пользователя протаскивает метаданные представления в разбор запроса и поднимает права. Закрыто там же.
CVE-2026-85748, тоже CVSS 9.9, к 10.6 не относится. Фонд ограничивает её ветками 12.3 и 13.0: ошибка в SYS_REFCURSOR может уронить сервер или дать запустить чужой код. Закрытие указано в 12.3.3. Если уже уехали на 12.3, нужна именно эта сборка, а не первая попавшаяся 12.3.
Galera в этом списке отдельно. CVE-2026-49261 от 2 июня, оценка Critical: через wsrep_notify_cmd можно заставить узел выполнить команду операционной системы. Закрыто в 10.6.27, 10.11.18, 11.4.12 и 11.8.8. CVE-2026-48165 и CVE-2026-48163, CVSS 8.0, делают то же на сторонах donor и joiner при SST, плюс закрытие есть в 12.3.2. Обычный VPS с одним экземпляром MariaDB под WordPress Galera не использует. Кластер без этих выпусков использует. В 12.3 пакет кластера называется mariadb-server-galera, переводят узел за узлом.
CVE-2026-32710, CVSS 8.6, 20 марта, функция JSON_SCHEMA_VALID(). Фонд указывает закрытие в 11.4.10 и 11.8.6 и рабочий пример запуска кода с конкурса ZeroDay.Cloud. CVE-2026-44172, оценка High, про клиентскую библиотеку Connector/C: на кодировке big5 mysql_real_escape_string() пропускает опасный запрос, хотя экранирование в коде вызывали. Исправления Connector/C 3.3.19 и 3.4.9. WordPress на PHP обычно ходит через mysqlnd, не через Connector/C. Это пакет коннектора, не серверная серия 10.6.
Прямой переход с 10.6 на 11.8 или 12.3
Фонд описывает переход в один шаг. Файлы данных обновляются на месте, полный дамп с заливкой заново не обязателен. Простой на типичном узле это останов, смена пакетов и старт, обычно несколько минут. Откат уже обновлённых файлов назад не поддерживается. Откат это копия, которую вы поднимали на стороне, а не файл, который «наверняка откроется».
Сначала версия. Всё ниже 10.11 фонд уже не сопровождает. 10.6 ниже 10.6.28 не содержит октябрьских закрытий своей серии. Перед правкой сохраните my.cnf. Уберите innodb_change_buffering (в 11.x параметра больше нет), innodb_log_write_ahead_size, строки TokuDB и старых плагинов аутентификации. 11.8 их игнорирует: сервер стартует, толку от строк нет.
Таблицы InnoDB с ROW_FORMAT=COMPRESSED с 10.6 только на чтение. До переезда их переводят в DYNAMIC с PAGE_COMPRESSED=1. Ядро WordPress так таблицы само не создаёт, старый импорт или ручной ALTER может. Останов нужен чистый: innodb_fast_shutdown ставят в 1 или 0. Процесс не убивают.
Так снимают версию, делают логический дамп и останавливают 10.6 перед сменой пакетов. Инструмент физической копии, который называет фонд, это mariadb-backup. Дамп ниже годится, когда нужно унести данные файлом.
sudo mariadb -e "SELECT VERSION();" sudo mariadb-dump --all-databases --single-transaction --routines --events -r "$HOME/mariadb-before-upgrade.sql" sudo mariadb -e "SET GLOBAL innodb_fast_shutdown=1;" sudo systemctl stop mariadb
Пакеты 11.8 или 12.3 ставят из репозитория MariaDB или из дистрибутива. На Debian 13 и Ubuntu 26.04 11.8 уже в штатных репозиториях. apt install mariadb-server без смены источника обновит ту серию, которую положил ваш релиз. С 10.6 так не уехать. Несовместимости между сериями фонд просит читать на страницах перехода с 10.6 на 11.4 и с 11.4 на 11.8, даже если прыжок прямой и промежуточную версию вы не ставите.
После установки сервис поднимают как обычно и запускают mariadb-upgrade. На упакованной 11.x он в большинстве установок стартует сам при первом запуске. Ручной прогон не вреден: видно, что системные таблицы текущие. С 11.4 сервер сам выпускает сертификат, клиенты по умолчанию идут в TLS. WordPress на локальном сокете этого обычно не замечает. Панель и скрипт мониторинга, которые вчера ходили на порт 3306 открытым TCP, могут упереться в сертификат.
Проверка после старта короткая: вход в wp-admin, запись черновика, форма, которая пишет в базу. Фонд пишет, что WordPress, Laravel, Magento и phpMyAdmin на 11.8 работают, провод и SQL, написанный под 10.6, сохраняются. Смотреть стоит свою панель и мониторинг, который разбирает SHOW STATUS.
MariaDB ссылается на предложение в ядре WordPress от июня 2025 года: больше 37% сайтов работали на версии базы с уже закончившейся поддержкой, 11% из них были на MariaDB с истёкшей веткой. С 6 июля 2026 года в эту группу входит каждый оставшийся 10.6. Клиент на шаред-хостинге версию себе не сменит. На своём VPS это ваша команда VERSION().
Хостингу, которому нельзя переехать сразу, MariaDB plc предлагает платную поддержку Enterprise Server 10.6. Для одного VPS с сайтом рабочий путь тот, который фонд называет для платформы: 11.8 до июня 2028 года или 12.3 до мая 2029. 10.6.28 имеет смысл как точка, на которой снимают дамп и читают страницы перехода. Жить на ней после 13 августа значит встречать следующую дыру уже без пакета фонда.
