PHP2Shell: засегнат ли е вашият сайт?

На 21 октомври 2026 г. PHP публикува спешни поправки за две уязвимости: CVE-2026-109618 и CVE-2026-109619. PHP Foundation и Tenable ги наричат заедно PHP2Shell. Според оценката по CVSS v4.0 и двете са с тежест 9,2 от 10. За собственик на фирма това означава едно практично нещо: трябва да се провери PHP на сървъра, а не само панелът на сайта.

Какво е PHP2Shell с прости думи?

PHP е програмната среда, която изпълнява голяма част от кода зад сайта. WordPress, WooCommerce, Joomla и Drupal са системи, изградени на PHP. Когато посетител отвори страница, изпрати форма или направи поръчка, сървърът използва PHP, за да обработи заявката и да върне резултат.

PHP2Shell е слабост в самата тази среда. Според PHP, цитирано от Tenable, двете уязвимости могат да бъдат използвани отдалечено, без нападателят да има парола или потребителски акаунт. При успешна атака той може да изпълни собствен код на сървъра. Това вече не е проблем само с една страница или една приставка, а с основата, върху която работи сайтът.

Според Help Net Security са засегнати PHP инсталации, които обслужват уеб заявки. Това включва PHP-FPM, Apache с mod_php, php-cgi, FrankenPHP и LiteSpeed. Не е нужно собственикът да знае коя от тези технологии използва сървърът. Нужно е да получи точната версия на PHP и да провери дали тя е поправена.

Защо това засяга WordPress, WooCommerce, Joomla и Drupal?

Тези платформи не са самият PHP, но работят върху него. Един WordPress сайт може да има последната версия на ядрото и всички приставки, а сървърът му да използва стара версия на PHP. В такъв случай обновяванията на сайта не решават проблема в изпълняващата среда.

Същото важи за WooCommerce. Магазинът може да приема поръчки, да изпраща известия и да работи нормално за клиентите, докато PHP на сървъра остава уязвим. Видимата работа на сайта не е доказателство, че основата му е обновена.

Joomla и Drupal също зависят от версията на PHP, на която са инсталирани. Това не означава, че всеки сайт на тези системи е атакуван. Означава, че всеки такъв сайт трябва да се провери на ниво сървър.

Кои версии на PHP са поправени?

Според публикуваните от PHP поправки засегнатите клонове имат следните версии, които затварят PHP2Shell:

Ако сървърът работи с по-стара версия в съответния клон, той не е достигнал поправката. Според PHP за PHP 7.4, 8.0 и 8.1 има поправки в изходния код, но няма официално публикувана версия. За PHP 5.4 до 7.3 PHP няма поправка.

Затова отговорът „сайтът е на PHP 8“ не е достатъчен. Трябва да се знае точната малка версия, например дали е 8.4.27, а не просто 8.4. Според Tenable и проучването на Calif най-старият засегнат код е от PHP 5.4, което означава, че слабостта е останала незабелязана повече от десет години.

Как да проверите дали сайтът ви е засегнат?

1. 01
   Установете кой отговаря за сървъра

   Проверете договора или кореспонденцията си с хостинга, уеб агенцията или фирмата за поддръжка. При някои сайтове едната фирма е изработила сайта, а друга управлява сървъра. Важно е въпросът да стигне до човека, който може да види и промени PHP.

2. 02
   Поискайте точната версия на PHP

   Изпратете кратък въпрос: „Коя точна версия на PHP работи на сървъра на нашия сайт и инсталирана ли е поправката срещу PHP2Shell?“ Не приемайте отговор само с „сървърът е обновен“ или „WordPress е актуален“.

3. 03
   Сравнете версията с официално поправените

   Ако версията е по-стара от 8.2.35, 8.3.36, 8.4.27 или 8.5.12 в съответния клон, сайтът е изложен. Според указанията за проверка PHP 8.1 и по-старите версии също трябва да се приемат като изложени.

4. 04
   Поискайте план, ако обновяването не е възможно веднага

   Понякога стар сайт зависи от стара приставка или от код, който не работи с нов PHP. Тогава поискайте конкретен план: резервно копие, тестова среда, проверка на съвместимостта и срок за обновяване. Не е достатъчно проблемът да бъде оставен без дата и отговорник.

Ако използвате Cloudflare, според Help Net Security са публикувани правила в защитната стена за известните начини на атака, включително за безплатни акаунти. Това може да намали риска от известните атаки, но не заменя обновяването на PHP. За система, която не може да бъде обновена веднага, NCSC препоръчва да се обмисли временно спиране.

Какво направихме за сайтовете, които хостваме и поддържаме?

На 21 октомври 2026 г., в деня на публикуването на поправката, обновихме PHP на всички клиентски сайтове на PHP, които хостваме и поддържаме. Те работят на PHP 8.4.27, поправената версия за този клон. На 22 октомври проверихме отново сървърите и няма чакащо обновяване на PHP.

Проверката обхвана сайтовете и онлайн магазините на WordPress, които се намират на нашите сървъри. Това включва и магазини с WooCommerce. След обновяването проверихме, че всички тези сайтове отговарят нормално.

Сайтовете, онлайн магазините и системите, които изграждаме на Next.js, Node.js и .NET, не използват PHP. По тази конкретна причина те не са засегнати от PHP2Shell. Това не е твърдение, че всяка система е защитена от всяка бъдеща уязвимост; означава само, че тази уязвимост в PHP не се отнася до тях.

При сайтове, които не хостваме или не поддържаме, не можем да приемем версията на PHP по предположение. Тя трябва да се види в реалната хостинг среда. Ако сайтът е изработен от друга фирма, но е оставен без текуща поддръжка, можем да започнем с преглед и да уточним какво трябва да се поправи. Това е част от услугата ни за поемане и поддръжка на чужд сайт.

Какво означава „поправено“ и какво не означава?

Поправено означава, че конкретната PHP уязвимост PHP2Shell е затворена чрез поддържана версия или приложена поправка. Това е важна, но ограничена констатация.

То не означава, че сайтът е защитен завинаги. Остават други възможни проблеми: остарели приставки, слаби пароли, неправилни права за достъп, пропуски в самия сайт, липса на резервни копия или проблеми в друга услуга на сървъра. Затова обновяването на PHP трябва да бъде част от постоянната поддръжка, а не еднократна причина да се спре проверката.

При собствен сървър или хостинг, управляван от вашия екип, попитайте кой следи за спешни обновявания и как се проверява възстановяването от резервно копие. При външна фирма поискайте същото писмено. Така няма да разчитате на неясно уверение, че „всичко е наред“.

Какво да направите, ако никой не ви дава ясен отговор?

Съберете адреса на сайта, данните за хостинга и името на фирмата, която го поддържа. Изпратете въпрос за точната PHP версия и поискайте потвърждение след обновяването. Ако сайтът е стар, поискайте и проверка за съвместимост, преди да се направи промяната.

Ако сайтът ви е на PHP и не сте сигурни дали е обновен, пишете ни. Ще проверим версията на PHP и ще обновим сървъра, когато имаме достъп и промяната е технически възможна. За текущо наблюдение, резервни копия и обновявания вижте поддръжка на сайт, а за управлявана сървърна среда хостинг за сайт. Можете да ни изпратите въпроса си през контактната ни страница.