PHP2Shell: ці закрануты ваш сайт?

21 кастрычніка 2026 г. PHP апублікаваў тэрміновыя выпраўленні для дзвюх уразлівасцяў, CVE-2026-109618 і CVE-2026-109619. PHP Foundation і Tenable называюць іх разам PHP2Shell. Паводле ацэнкі CVSS v4.0, абедзве маюць узровень небяспекі 9,2 з 10. Для ўладальніка кампаніі гэта азначае адно практычнае дзеянне: трэба праверыць PHP на серверы, а не толькі панэль сайта.

Што такое PHP2Shell простымі словамі?

PHP, гэта праграмнае асяроддзе, якое выконвае значную частку кода сайта. WordPress, WooCommerce, Joomla і Drupal, гэта сістэмы, створаныя на PHP. Калі наведвальнік адкрывае старонку, адпраўляе форму або робіць заказ, сервер выкарыстоўвае PHP, каб апрацаваць запыт і вярнуць вынік.

PHP2Shell, гэта слабое месца ў самім асяроддзі. Паводле PHP, якую цытуе Tenable, абедзве ўразлівасці можна выкарыстоўваць аддалена, без пароля або ўліковага запісу карыстальніка. Пры паспяховай атацы зламыснік можа выканаць уласны код на серверы. Гэта ўжо праблема не толькі адной старонкі або адной убудовы, а асновы, на якой працуе сайт.

Паводле Help Net Security, закрануты ўсталёўкі PHP, якія апрацоўваюць вэб-запыты. Сюды ўваходзяць PHP-FPM, Apache з mod_php, php-cgi, FrankenPHP і LiteSpeed. Уладальніку не абавязкова ведаць, якую з гэтых тэхналогій выкарыстоўвае сервер. Трэба атрымаць дакладную версію PHP і праверыць, ці ўсталявана для яе выпраўленне.

Чаму гэта закранае WordPress, WooCommerce, Joomla і Drupal?

Гэтыя платформы не з'яўляюцца самім PHP, але працуюць на ім. На сайце WordPress можа быць апошняя версія ядра і ўсе ўбудовы, а сервер пры гэтым можа выкарыстоўваць старую версію PHP. У такім выпадку абнаўленні сайта не вырашаюць праблему ў асяроддзі выканання.

Тое самае датычыцца WooCommerce. Крама можа прымаць заказы, адпраўляць апавяшчэнні і нармальна працаваць для кліентаў, пакуль PHP на серверы застаецца ўразлівым. Бачная працаздольнасць сайта не даказвае, што яго аснова абноўлена.

Joomla і Drupal таксама залежаць ад версіі PHP, на якой яны ўсталяваны. Гэта не азначае, што кожны сайт на гэтых сістэмах атакаваны. Гэта азначае, што кожны такі сайт трэба праверыць на ўзроўні сервера.

Якія версіі PHP выпраўлены?

Паводле выпраўленняў, апублікаваных PHP, для закранутых галін наступныя версіі закрываюць PHP2Shell:

Калі сервер працуе на старой версіі адпаведнай галіны, ён яшчэ не атрымаў выпраўленне. Паводле PHP, для PHP 7.4, 8.0 і 8.1 выпраўленні ёсць у зыходным кодзе, але афіцыйная версія не апублікавана. Для PHP 5.4 да 7.3 PHP не мае выпраўлення.

Таму адказу «сайт працуе на PHP 8» недастаткова. Трэба ведаць дакладную мінорную версію, напрыклад, ці гэта 8.4.27, а не проста 8.4. Паводле Tenable і даследавання Calif, найстарэйшы закрануты код паходзіць з PHP 5.4, што азначае, што слабое месца заставалася незаўважаным больш за дзесяць гадоў.

Як праверыць, ці закрануты ваш сайт?

1. 01
   Высветліце, хто адказвае за сервер

   Праверце дамову або перапіску з хостынгавай кампаніяй, вэб-агенцтвам або фірмай, якая абслугоўвае сайт. Для некаторых сайтаў адна фірма распрацавала сайт, а іншая кіруе серверам. Важна, каб пытанне дайшло да чалавека, які можа ўбачыць і змяніць версію PHP.

2. 02
   Папрасіце дакладную версію PHP

   Адпраўце кароткае пытанне: «Якая дакладная версія PHP працуе на серверы нашага сайта і ці ўсталявана выпраўленне супраць PHP2Shell?» Не прымайце адказ толькі ў выглядзе «сервер абноўлены» або «WordPress актуальны».

3. 03
   Параўнайце версію з афіцыйна выпраўленымі

   Калі версія старэйшая за 8.2.35, 8.3.36, 8.4.27 або 8.5.12 у адпаведнай галіне, сайт знаходзіцца пад пагрозай. Згодна з інструкцыямі па праверцы, PHP 8.1 і старэйшыя версіі таксама трэба лічыць уразлівымі.

4. 04
   Папрасіце план, калі абнаўленне немагчыма выканаць адразу

   Часам стары сайт залежыць ад старога плагіна або кода, які не працуе з новым PHP. У такім выпадку папрасіце канкрэтны план: рэзервовую копію, тэставае асяроддзе, праверку сумяшчальнасці і тэрмін абнаўлення. Недастаткова пакінуць праблему без даты і адказнага.

Калі вы выкарыстоўваеце Cloudflare, паводле Help Net Security, у брандмаўэры апублікаваныя правілы для вядомых спосабаў атакі, у тым ліку для бясплатных акаўнтаў. Гэта можа знізіць рызыку вядомых атак, але не замяняе абнаўленне PHP. Для сістэмы, якую немагчыма адразу абнавіць, NCSC рэкамендуе разгледзець магчымасць часовага адключэння.

Што мы зрабілі для сайтаў, якія размяшчаем і падтрымліваем?

21 кастрычніка 2026 г., у дзень публікацыі выпраўлення, мы абнавілі PHP на ўсіх кліенцкіх сайтах на PHP, якія размяшчаем і падтрымліваем. Яны працуюць на PHP 8.4.27, выпраўленай версіі для гэтай галіны. 22 кастрычніка мы паўторна праверылі серверы, і неабноўленых версій PHP не засталося.

Праверка ахапіла сайты і інтэрнэт-крамы на WordPress, якія знаходзяцца на нашых серверах. Сюды ўваходзяць і крамы з WooCommerce. Пасля абнаўлення мы праверылі, што ўсе гэтыя сайты адказваюць нармальна.

Сайты, інтэрнэт-крамы і сістэмы, якія мы ствараем на Next.js, Node.js і .NET, не выкарыстоўваюць PHP. Менавіта таму яны не закранутыя PHP2Shell. Гэта не сцвярджэнне, што кожная сістэма абароненая ад любой будучай уразлівасці, а толькі азначае, што гэтая ўразлівасць у PHP іх не датычыцца.

Для сайтаў, якія мы не размяшчаем і не падтрымліваем, нельга вызначыць версію PHP на падставе здагадкі. Яе трэба праверыць у рэальным хостынгавым асяроддзі. Калі сайт стварыла іншая кампанія, але ён застаўся без бягучай падтрымкі, мы можам пачаць з праверкі і ўдакладніць, што трэба выправіць. Гэта частка нашай паслугі па пераняцці і падтрымцы чужога сайта.

Што азначае «выпраўлена» і чаго гэта не азначае?

Выпраўлена азначае, што канкрэтная ўразлівасць PHP2Shell закрытая дзякуючы выкарыстанню версіі з падтрымкай або ўсталяванаму выпраўленню. Гэта важная, але абмежаваная выснова.

Гэта не азначае, што сайт абаронены назаўсёды. Застаецца шэраг іншых магчымых праблем: састарэлыя плагіны, слабыя паролі, няправільныя правы доступу, уразлівасці ў самім сайце, адсутнасць рэзервовых копій або праблемы ў іншай службе сервера. Таму абнаўленне PHP павінна быць часткай пастаяннай падтрымкі, а не аднаразовай прычынай спыніць праверкі.

Калі ў вас уласны сервер або хостынг, якім кіруе ваша каманда, спытайце, хто сочыць за тэрміновымі абнаўленнямі і як правяраецца аднаўленне з рэзервовай копіі. Калі гэтым займаецца знешняя кампанія, папрасіце тое самае ў пісьмовай форме. Так вы не будзеце спадзявацца на няпэўнае запэўніванне, што «ўсё ў парадку».

Што рабіць, калі ніхто не дае выразнага адказу?

Збярыце адрас сайта, даныя для доступу да хостынгу і назву кампаніі, якая яго падтрымлівае. Спытайце пра дакладную версію PHP і папрасіце пацвердзіць яе пасля абнаўлення. Калі сайт стары, таксама папрасіце праверыць сумяшчальнасць перад унясеннем змен.

Калі ваш сайт працуе на PHP і вы не ўпэўненыя, ці абноўлены ён, напішыце нам. Мы праверым версію PHP і абновім сервер, калі ў нас ёсць доступ і змяненне тэхнічна магчымае. Пра бягучы маніторынг, рэзервовыя копіі і абнаўленні чытайце ў раздзеле падтрымка сайта, а пра кіраванае сервернае асяроддзе, у хостынг для сайта. Вы можаце даслаць нам пытанне праз нашу кантактную старонку.