PHP2Shell: засегнат ли е вашиот сајт?

На 21 октомври 2026 г. PHP објави итни поправки за две ранливости, CVE-2026-109618 и CVE-2026-109619. PHP Foundation и Tenable заедно ги нарекуваат PHP2Shell. Според оценувањето по CVSS v4.0, и двете имаат тежина 9,2 од 10. За сопственик на фирма тоа значи една практична работа: треба да се провери PHP на серверот, а не само контролната табла на сајтот.

Што е PHP2Shell, објаснето едноставно?

PHP е програмската средина што извршува голем дел од кодот зад сајтот. WordPress, WooCommerce, Joomla и Drupal се системи изградени на PHP. Кога посетител ќе отвори страница, ќе испрати формулар или ќе направи нарачка, серверот користи PHP за да го обработи барањето и да врати резултат.

PHP2Shell е слабост во самата оваа средина. Според PHP, цитирано од Tenable, двете ранливости може да се искористат оддалеку, без напаѓачот да има лозинка или корисничка сметка. При успешен напад, тој може да изврши сопствен код на серверот. Ова веќе не е проблем само со една страница или еден приклучок, туку со основата на која работи сајтот.

Според Help Net Security, засегнати се PHP инсталациите што обработуваат веб-барања. Ова ги вклучува PHP-FPM, Apache со mod_php, php-cgi, FrankenPHP и LiteSpeed. Сопственикот не мора да знае која од овие технологии ја користи серверот. Потребно е да ја добие точната верзија на PHP и да провери дали е поправена.

Зошто ова ги засега WordPress, WooCommerce, Joomla и Drupal?

Овие платформи не се самиот PHP, туку работат на него. Еден WordPress сајт може да ја има најновата верзија на јадрото и сите приклучоци, а неговиот сервер да користи стара верзија на PHP. Во таков случај, ажурирањата на сајтот не го решаваат проблемот во средината за извршување.

Истото важи и за WooCommerce. Продавницата може да прима нарачки, да испраќа известувања и нормално да работи за клиентите, додека PHP на серверот останува ранлив. Видливото функционирање на сајтот не е доказ дека неговата основа е ажурирана.

Joomla и Drupal исто така зависат од верзијата на PHP на која се инсталирани. Тоа не значи дека секој сајт на овие системи е нападнат. Значи дека секој таков сајт треба да се провери на ниво на серверот.

Кои верзии на PHP се поправени?

Според поправките објавени од PHP, засегнатите гранки ги имаат следните верзии што го затвораат PHP2Shell:

Ако серверот работи со постара верзија во соодветната гранка, тој не ја достигнал поправката. Според PHP, за PHP 7.4, 8.0 и 8.1 има поправки во изворниот код, но нема официјално објавена верзија. За PHP 5.4 до 7.3 PHP нема поправка.

Затоа одговорот „сајтот е на PHP 8“ не е доволен. Треба да се знае точната помала верзија, на пример дали е 8.4.27, а не само 8.4. Според Tenable и истражувањето на Calif, најстариот засегнат код е од PHP 5.4, што значи дека слабоста останала незабележана повеќе од десет години.

Како да проверите дали вашиот сајт е засегнат?

1. 01
   Утврдете кој е одговорен за серверот

   Проверете го договорот или кореспонденцијата со хостингот, веб-агенцијата или фирмата за одржување. Кај некои сајтови едната фирма го изработила сајтот, а друга управува со серверот. Важно е прашањето да стигне до лицето што може да го види и промени PHP.

2. 02
   Побарајте ја точната верзија на PHP

   Испратете кратко прашање: „Која точна верзија на PHP работи на серверот на нашиот сајт и дали е инсталирана поправката против PHP2Shell?“ Не прифаќајте одговор само со „серверот е ажуриран“ или „WordPress е ажуриран“.

3. 03
   Споредете ја верзијата со официјално поправените

   Ако верзијата е постара од 8.2.35, 8.3.36, 8.4.27 или 8.5.12 во соодветната гранка, сајтот е изложен. Според упатствата за проверка, PHP 8.1 и постарите верзии исто така треба да се сметаат за изложени.

4. 04
   Побарајте план ако ажурирањето не е можно веднаш

   Понекогаш стар сајт зависи од стара приклучок или од код што не работи со нов PHP. Тогаш побарајте конкретен план: резервна копија, тестовна средина, проверка на компатибилноста и рок за ажурирање. Не е доволно проблемот да биде оставен без датум и одговорно лице.

Ако користите Cloudflare, според Help Net Security, во заштитниот ѕид се објавени правила за познатите начини на напад, вклучително и за бесплатни сметки. Ова може да го намали ризикот од познатите напади, но не го заменува ажурирањето на PHP. За систем што не може веднаш да се ажурира, NCSC препорачува да се разгледа привремено запирање.

Што направивме за сајтовите што ги хостираме и одржуваме?

На 21 октомври 2026 г., на денот на објавувањето на поправката, го ажуриравме PHP на сите клиентски сајтови на PHP што ги хостираме и одржуваме. Тие работат на PHP 8.4.27, поправената верзија за оваа гранка. На 22 октомври повторно ги проверивме серверите и нема ажурирање на PHP што чека да се изврши.

Проверката ги опфати WordPress сајтовите и онлајн продавниците што се наоѓаат на нашите сервери. Ова ги вклучува и продавниците со WooCommerce. По ажурирањето проверивме дека сите овие сајтови одговараат нормално.

Сајтовите, онлајн продавниците и системите што ги изработуваме со Next.js, Node.js и .NET не користат PHP. Токму поради оваа причина, тие не се засегнати од PHP2Shell. Ова не значи дека секој систем е заштитен од секоја идна ранливост, туку само дека оваа ранливост во PHP не се однесува на нив.

Кај сајтовите што не ги хостираме или не ги одржуваме, не можеме да ја претпоставиме верзијата на PHP. Таа треба да се провери во реалната хостинг средина. Ако сајтот е изработен од друга фирма, но е оставен без тековно одржување, можеме да започнеме со преглед и да утврдиме што треба да се поправи. Ова е дел од нашата услуга за преземање и одржување на туѓ сајт.

Што значи „поправено“ и што не значи?

Поправено значи дека конкретната ранливост PHP2Shell е отстранета преку поддржувана верзија или применета поправка. Ова е важен, но ограничен заклучок.

Тоа не значи дека сајтот е заштитен засекогаш. Остануваат други можни проблеми: застарени приклучоци, слаби лозинки, неправилни права за пристап, пропусти во самиот сајт, недостиг на резервни копии или проблеми во друга услуга на серверот. Затоа ажурирањето на PHP треба да биде дел од постојаното одржување, а не еднократна причина да се прекине проверката.

Кај сопствен сервер или хостинг со кој управува вашиот тим, прашајте кој ги следи итните ажурирања и како се проверува обновувањето од резервна копија. Кај надворешна фирма побарајте го истото писмено. Така нема да се потпирате на нејасно уверување дека „сè е во ред“.

Што да направите ако никој не ви дава јасен одговор?

Соберете ја адресата на сајтот, податоците за хостингот и името на фирмата што го одржува. Испратете прашање за точната верзија на PHP и побарајте потврда по ажурирањето. Ако сајтот е стар, побарајте и проверка на компатибилноста пред да се изврши промената.

Ако вашиот сајт е на PHP и не сте сигурни дали е ажуриран, пишете ни. Ќе ја провериме верзијата на PHP и ќе го ажурираме серверот кога имаме пристап и кога промената е технички можна. За тековно следење, резервни копии и ажурирања, видете одржување на сајт, а за управувана серверска средина, хостинг за сајт. Можете да ни го испратите вашето прашање преку нашата контактна страница.