PHP2Shell: две критические уязвимости PHP — что делать вашему сайту

Что такое PHP2Shell и чем это опасно

В середине октября исследователи обнаружили две критические уязвимости PHP — в самом языке и серверном движке, на котором работают WordPress, 1С-Битрикс, Joomla и большинство сайтов Беларуси. В прессе их назвали PHP2Shell (буквально «из PHP — в оболочку управления сервером»); официальные названия — CVE-2026-109618 и CVE-2026-109619. Обе оценены в 9,2 балла из 10 по шкале CVSS 4.0 — уровень Critical.

Суть в одном: злоумышленник может выполнить произвольный код на вашем сервере, не зная паролей и не проходя авторизацию.

Что это значит для владельца сайта на практике:

• посетителей можно перенаправлять на чужие страницы или подсунуть им вредоносный код;
• из базы данных уходят клиенты, заказы и пароли;
• сайт может быть использован как отправная точка для атак на другие ваши ресурсы;
• поисковики и браузеры начинают помечать сайт как опасный — трафик падает.

Важно понимать: уязвимость — не в вашей админке и не в плагине, а в самом движке PHP. Обновление сайта «на всякий случай» её не закрывает — закрывает только обновление PHP. Размер и популярность сайта при этом не имеют значения: сканеры проверяют адреса в интернете автоматически, и попасть в выборку можно, даже если сайт посещают десять человек в день.

Как проверить, какая версия PHP у вашего сайта

Самый простой способ — посмотреть в панели хостинга: там всегда указана версия PHP для сайта. В WordPress это же видно в разделе «Инструменты → Здоровье сайта → Информация» (пункт «Версия PHP»).

Дальше — сверка. Ваша версия уязвима, если она ниже одной из исправленных:

Пример: на сайте стоит PHP 8.1.27 — ветка закрыта ещё в 2023 году, свежих патчей для неё нет, переход на поддерживаемую версию обязателен. Если вашей версии нет в таблице — уязвимость PHP на сайте не закрыта и обновление обязательно.

# версия PHP в командной строке
php -v

# включена ли временная мера (см. ниже)
php -i | grep -i "session.upload_progress.enabled"

Что сделать прямо сейчас, если обновиться пока не получается

Если обновление возможно только в выходные или ждёте слот хостинга, есть временная мера: отключить механизм, через который подтверждён один из путей атаки — session.upload_progress.

Честно о границах этой меры:

• она не заменяет обновление — это костыль на время;
• закрывает подтверждённый путь одной из двух уязвимостей, но не все возможные;
• от CVE-2026-109618 она не защищает вообще.

# Debian 12 / Ubuntu 24.04 / BitrixVM 9
# 1. Включить в СИСТЕМНОМ php.ini (не в .user.ini — PHP не гарантирует его применение)
sudo nano /etc/php/8.3/fpm/php.ini
#   session.upload_progress.enabled = Off

# 2. Перезапустить обработчик запросов
sudo systemctl restart php8.3-fpm

Как обновиться правильно

Порядок одинаков для любого сайта:

1. Бэкап — файлы и база, чтобы откатиться за минуты.
2. Проверка на стенде — копия сайта на тестовом сервере или в локальном окружении.
3. Обновление в окно обслуживания — 15–30 минут, когда можно закрыть приём заказов.
4. Проверка — главная, форма заявки, каталог, оплата, письма.

Где обновляться:

• хостинг с поддержкой — напишите в поддержку, они поднимут ветку за вас (обычно бесплатно);
• BitrixVM — панель виртуальной машины → обновление окружения, версии PHP выбираются там же;
• свой сервер (VPS) — пакеты дистрибутива, команды ниже.

Если сайтом занимается поддержка хостинга — напишите им простой запрос: «прошу обновить PHP до последней безопасной версии ветки 8.x для моего сайта, после обновления проверю работоспособность». На большинстве хостингов Беларуси это бесплатно и занимает рабочий день. Если сайта нет на поддержке — напишите нам: подскажем, что именно сказать администратору, или сделаем сами.

sudo apt update
apt list --upgradable 2>/dev/null | grep -i '^php'
sudo apt install --only-upgrade php8.3-fpm php8.3-cli php8.3-mysql
sudo systemctl restart php8.3-fpm
php -v

Почему обновление WordPress или Битрикс не заменяет обновление PHP

CMS и PHP — два уровня. Обновление WordPress или 1С-Битрикс чинит их собственный код, а уязвимость живёт ниже, в интерпретаторе. Это как обновить приложение в телефоне, когда нужна прошивка самой системы.

Поэтому правильно делать и то, и другое: сначала PHP до исправленной версии, затем CMS до свежей версии. Если CMS устарела на несколько лет — это уже отдельная задача: смотрите аудит безопасности и администрирование серверов.

Сколько стоит обновление PHP

Ориентировочные цены на октябрь 2026 года. Точную стоимость называем после бесплатной оценки сайта: версия CMS и PHP, доработки, сервер.

FAQ

Что мы сделаем

1. Проверим бесплатно — версию PHP, CMS и сервера, что устарело и чем грозит. 1 рабочий день.
2. Составим план — что обновлять, в каком порядке, сколько это займёт. Цена фиксируется до старта.
3. Обновим без простоя для бизнеса — в согласованное окно, с бэкапом и откатом на случай проблем.
4. Останемся на связи — по желанию: мониторинг, бэкапы и обновления по абонементу.

Telegram: +375 29 680-04-17 · Позвонить: +375 29 680-04-17