PHP2Shell: затронут ли ваш сайт?

21 октября 2026 года PHP выпустил срочные исправления для двух уязвимостей, CVE-2026-109618 и CVE-2026-109619. PHP Foundation и Tenable называют их вместе PHP2Shell. Согласно оценке по CVSS v4.0, обе имеют степень серьёзности 9,2 из 10. Для владельца компании это означает одну практическую вещь: необходимо проверить PHP на сервере, а не только панель управления сайтом.

Что такое PHP2Shell простыми словами?

PHP, это программная среда, которая выполняет значительную часть кода сайта. WordPress, WooCommerce, Joomla и Drupal, это системы, созданные на PHP. Когда посетитель открывает страницу, отправляет форму или оформляет заказ, сервер использует PHP, чтобы обработать запрос и вернуть результат.

PHP2Shell, это уязвимость в самой этой среде. Согласно информации PHP, приведённой Tenable, обе уязвимости можно использовать удалённо, без пароля или учётной записи пользователя. При успешной атаке злоумышленник может выполнить собственный код на сервере. Это уже проблема не отдельной страницы или плагина, а основы, на которой работает сайт.

Согласно Help Net Security, затронуты установки PHP, обслуживающие веб-запросы. К ним относятся PHP-FPM, Apache с mod_php, php-cgi, FrankenPHP и LiteSpeed. Владельцу не обязательно знать, какую из этих технологий использует сервер. Необходимо получить точную версию PHP и проверить, исправлена ли она.

Почему это касается WordPress, WooCommerce, Joomla и Drupal?

Эти платформы не являются самим PHP, но работают на нём. На сайте WordPress могут быть установлены последняя версия ядра и все плагины, а сервер при этом может использовать устаревшую версию PHP. В таком случае обновления сайта не устраняют проблему в среде выполнения.

То же самое относится к WooCommerce. Магазин может принимать заказы, отправлять уведомления и нормально работать для клиентов, пока PHP на сервере остаётся уязвимым. Видимая работоспособность сайта не доказывает, что его основа обновлена.

Joomla и Drupal также зависят от версии PHP, на которой они установлены. Это не означает, что каждый сайт на этих системах подвергся атаке. Это означает, что каждый такой сайт необходимо проверить на уровне сервера.

Какие версии PHP исправлены?

Согласно опубликованным PHP исправлениям, для затронутых веток доступны следующие версии, устраняющие PHP2Shell:

Если сервер работает с более старой версией в соответствующей ветке, исправление на нём не установлено. Согласно PHP, для PHP 7.4, 8.0 и 8.1 исправления есть в исходном коде, но официальная версия не опубликована. Для PHP 5.4-7.3 исправления от PHP нет.

Поэтому ответа «сайт работает на PHP 8» недостаточно. Необходимо знать точную минорную версию, например 8.4.27, а не просто 8.4. Согласно Tenable и исследованию Calif, самый старый затронутый код относится к PHP 5.4, что означает, что уязвимость оставалась незамеченной более десяти лет.

Как проверить, затронут ли ваш сайт?

1. 01
   Установите, кто отвечает за сервер

   Проверьте договор или переписку с хостинг-провайдером, веб-агентством или компанией, обслуживающей сайт. Для некоторых сайтов одна компания разработала сайт, а другая управляет сервером. Важно, чтобы вопрос дошёл до человека, который может проверить и изменить PHP.

2. 02
   Запросите точную версию PHP

   Отправьте короткий вопрос: «Какая точная версия PHP работает на сервере нашего сайта и установлено ли исправление против PHP2Shell?» Не принимайте ответ только в форме «сервер обновлён» или «WordPress актуален».

3. 03
   Сравните версию с официально исправленными

   Если версия старше 8.2.35, 8.3.36, 8.4.27 или 8.5.12 в соответствующей ветке, сайт уязвим. Согласно рекомендациям по проверке, PHP 8.1 и более старые версии также следует считать уязвимыми.

4. 04
   Запросите план, если обновление невозможно выполнить сразу

   Иногда старый сайт зависит от устаревшего плагина или кода, который не работает с новой версией PHP. В таком случае запросите конкретный план: резервное копирование, тестовую среду, проверку совместимости и срок обновления. Недостаточно просто оставить проблему без указания срока и ответственного.

Если вы используете Cloudflare, по данным Help Net Security, в брандмауэре опубликованы правила для известных способов атаки, в том числе для бесплатных аккаунтов. Это может снизить риск известных атак, но не заменяет обновление PHP. Для системы, которую невозможно сразу обновить, NCSC рекомендует рассмотреть временную остановку.

Что мы сделали для сайтов, которые размещаем и поддерживаем?

21 октября 2026 г., в день публикации исправления, мы обновили PHP на всех клиентских сайтах на PHP, которые размещаем и поддерживаем. Они работают на PHP 8.4.27, исправленной версии для этой ветки. 22 октября мы повторно проверили серверы, и ожидающих обновлений PHP нет.

Проверка охватила сайты и интернет-магазины на WordPress, размещённые на наших серверах. В том числе магазины с WooCommerce. После обновления мы проверили, что все эти сайты нормально отвечают.

Сайты, интернет-магазины и системы, которые мы создаём на Next.js, Node.js и .NET, не используют PHP. Поэтому конкретно уязвимость PHP2Shell их не затрагивает. Это не означает, что любая система защищена от любой будущей уязвимости, а лишь то, что данная уязвимость в PHP к ним не относится.

Для сайтов, которые мы не размещаем и не поддерживаем, мы не можем определить версию PHP предположительно. Её необходимо проверить в реальной среде хостинга. Если сайт разработан другой компанией, но не получает регулярного обслуживания, мы можем начать с проверки и уточнить, что нужно исправить. Это часть нашей услуги приёма на обслуживание и поддержки чужого сайта.

Что означает «исправлено» и чего это не означает?

«Исправлено» означает, что конкретная уязвимость PHP2Shell устранена с помощью поддерживаемой версии или установленного исправления. Это важный, но ограниченный вывод.

Это не означает, что сайт защищён навсегда. Остаются другие возможные проблемы: устаревшие плагины, слабые пароли, неправильные права доступа, уязвимости в самом сайте, отсутствие резервных копий или проблемы в другой службе сервера. Поэтому обновление PHP должно быть частью постоянного обслуживания, а не единственной причиной прекратить проверку.

Если у вас собственный сервер или хостинг, которым управляет ваша команда, спросите, кто следит за срочными обновлениями и как проверяется восстановление из резервной копии. При работе с внешней компанией запросите то же самое в письменном виде. Так вы не будете полагаться на расплывчатое заверение, что «всё в порядке».

Что делать, если никто не даёт ясного ответа?

Соберите адрес сайта, данные для доступа к хостингу и название компании, которая его обслуживает. Отправьте запрос с просьбой указать точную версию PHP и подтвердить обновление после его установки. Если сайт старый, до внесения изменений запросите также проверку совместимости.

Если ваш сайт работает на PHP и вы не уверены, обновлён ли он, напишите нам. Мы проверим версию PHP и обновим сервер, если у нас есть доступ и технически возможно внести изменения. Информацию о постоянном мониторинге, резервных копиях и обновлениях смотрите в разделе поддержка сайта, а об управляемой серверной среде, в разделе хостинг для сайта. Вы можете отправить нам свой вопрос через нашу страницу контактов.