Уязвимость PHP2Shell: что делать владельцу сайта
21 октября 2026 года разработчики PHP выпустили экстренное обновление. Оно закрывает две критические уязвимости, которые получили общее название PHP2Shell. Через них злоумышленник может выполнить свой код на сервере сайта без логина и пароля. Если сайт работает на PHP, его нужно проверить: защищает только обновление PHP до исправленной версии.
Что такое PHP2Shell
PHP2Shell — это две уязвимости в самом языке PHP: CVE-2026-109618 и CVE-2026-109619. Обе оценены в 9,2 балла из 10 по шкале CVSS — это критический уровень.
Проблема не в конкретной CMS или плагине, а в интерпретаторе PHP, на котором работает сайт. Поэтому она касается WordPress, 1С-Битрикс, Laravel, самописных систем и любых других проектов на PHP.
Если объяснять без технических деталей:
- Первая уязвимость. Когда PHP не хватает памяти, он прерывает обработку запроса на середине. Часть данных остаётся недособранной, но система считает их корректными. Атакующий может специально вызвать такую ситуацию и подменить данные.
- Вторая уязвимость. После обработки запроса в памяти PHP остаются ссылки на уже освобождённые данные. Следующий запрос может их использовать, и это тоже даёт возможность выполнить посторонний код.
Каких сайтов это касается
По данным Google Cloud, уязвимы все версии PHP с 5.4 по 8.5.11. Проблема затрагивает все распространённые способы запуска PHP на сервере: PHP-FPM, Apache с модулем mod_php, php-cgi, FrankenPHP и LiteSpeed.
Исправленные версии:
| Версия PHP | Безопасная версия |
|---|---|
| 8.5 | 8.5.12 и выше |
| 8.4 | 8.4.27 и выше |
| 8.3 | 8.3.36 и выше |
| 8.2 | 8.2.35 и выше |
| 8.1, 8.0, 7.x и старше | тоже уязвимы, но исправлений не будет — нужен переход на 8.2 или новее |
Компания Palo Alto Networks насчитала в интернете более 22,6 млн серверов, которые потенциально уязвимы.
Почему это срочно
Подробности уязвимостей попали в сеть 20 октября, раньше запланированной даты раскрытия. Команда PHP выпустила исправления на день раньше — 21 октября в 19:00 по времени Алматы.
Атаки начались почти сразу. По данным Cloudflare, за первые 45 минут после публикации было десятки тысяч попыток, к утру следующего дня — миллионы. Amazon зафиксировал первую попытку атаки ещё 17 октября, за четыре дня до официального раскрытия (The Hacker News). О необходимости срочно обновить PHP предупредили агентство кибербезопасности США CISA и национальные киберцентры Канады, Австралии и Новой Зеландии.
Обновление CMS не закрывает уязвимость
Это самое частое заблуждение. Обновление WordPress, плагинов или другой системы управления не меняет версию PHP на сервере. Интерпретатор обновляется отдельно: на виртуальном хостинге это делает хостинг-провайдер, на собственном сервере — администратор или разработчик.
Настройка из соцсетей не защищает
В первые дни в соцсетях распространился совет отключить параметр session.upload_progress.enabled. Компания, которая его предложила, позже от него отказалась, а разработчики PHP прямо заявили: единственная защита — обновление PHP (подробнее). Отключение параметра можно оставить как дополнительную меру, но не вместо обновления.
Как проверить свой сайт
- Узнайте версию PHP. Её показывает панель управления хостингом (Plesk, cPanel) или может назвать подрядчик, который ведёт сайт.
- Сравните с таблицей выше. Если версия ниже безопасной — сайт уязвим.
- Учтите нюанс с номером версии. Некоторые системы (Ubuntu, Debian) встраивают исправления в старую версию без смены номера. Если сомневаетесь, уточните у хостинга, установлены ли исправления для CVE-2026-109618 и CVE-2026-109619.
- Если PHP 8.1 или старше, в том числе PHP 7, — запланируйте переход на актуальную версию. Для старых версий официальных исправлений нет.
- Проверьте сайт на следы взлома. Попросите разработчика посмотреть журналы сервера и файлы сайта за период с 17 октября.
- При подозрениях смените пароли от админки сайта и панели хостинга.
Если пришло письмо об обновлении PHP
Сейчас многим владельцам сайтов приходят уведомления от хостинга о том, что PHP нужно обновить. Такие письма не стоит откладывать: обновление закрывает уязвимость. Перед обновлением важно проверить, что сайт корректно работает на новой версии PHP, — особенно если он давно не обновлялся.
Если вы не знаете, на какой версии PHP работает ваш сайт, напишите в Digital-агентство «Пантера» — подскажем. Обновление PHP и проверку сайта на новой версии можно сделать в рамках поддержки и развития сайта.
Вопросы и ответы
Нет. Уязвимость находится в PHP, а не в WordPress. Обновление CMS и плагинов не меняет версию PHP на сервере — её нужно проверить отдельно в панели хостинга или у подрядчика.
Версия указана в панели управления хостингом — в Plesk или cPanel она обычно отображается в настройках сайта или домена. Также её может назвать разработчик или служба поддержки хостинга.
На виртуальном хостинге PHP обычно обновляет провайдер, но сроки зависят от него. Лучше уточнить в поддержке хостинга, установлены ли исправления для CVE-2026-109618 и CVE-2026-109619.
Для этих версий официальных исправлений нет. Нужно перевести сайт на актуальную версию PHP — 8.2 или новее. Перед переходом стоит проверить, что сайт корректно работает на новой версии: старый код часто требует доработки.
Нет. Разработчики PHP заявили, что единственная защита — обновление PHP до исправленной версии. Отключение этого параметра может быть дополнительной мерой, но не заменяет обновление.
