MHOSTMHOST

21 окт. 2026 г.

PHP2Shell: критические уязвимости в PHP — обновитесь сейчас

21 октября 2026 года команда PHP выпустила экстренные обновления безопасности. Они закрывают две критические уязвимости в ядре PHP — CVE-2026-109618 и CVE-2026-109619, известные как PHP2Shell. Оценка опасности — 9,2 из 10 по шкале CVSS. Если на вашем VPS работает сайт на PHP, его нужно обновить сегодня.

Чем опасна уязвимость

  • Выполнение чужого кода без авторизации. Атакующему достаточно одного запроса к сайту, чтобы запустить на сервере свой код. Логин, пароль или доступ к админке ему не нужны.
  • Доступ к данным на сервере. Получив возможность выполнять код, злоумышленник может прочитать пароли от базы данных, API-ключи и токены из конфигурации сайта.
  • Затронут любой сайт на PHP. WordPress, Drupal, Joomla, самописные проекты и даже простая страница «Hello World». Атака срабатывает ещё до того, как запускается код самого сайта.
  • Любая схема запуска. Уязвимы PHP-FPM, Apache с mod_php, php-cgi, FrankenPHP и LiteSpeed.
  • Ошибка жила в PHP годами. Проблема касается не только свежих, но и очень старых версий.
  • Рабочий эксплойт уже существует. Детали уязвимостей утекли до выхода патча, и специалисты по безопасности ожидают массовых атак в ближайшие дни.

Исправленные версии

Уязвимости закрыты в версиях:

  • PHP 8.5.12
  • PHP 8.4.27
  • PHP 8.3.36
  • PHP 8.2.35

Официальное объявление: php.net

Что сделать прямо сейчас

1. Сделайте снапшот или бэкап VPS в панели управления, чтобы в случае проблем быстро откатиться.

2. Проверьте текущую версию PHP:

php -v

3. Обновите пакеты.

Для Ubuntu и Debian:

sudo apt update && sudo apt upgrade

Для AlmaLinux, Rocky Linux и CentOS:

sudo dnf upgrade

4. Перезапустите PHP.

Если используется PHP-FPM:

sudo systemctl restart 'php*-fpm'

Если PHP работает как модуль Apache:

sudo systemctl restart apache2

5. Проверьте результат. Снова выполните php -v и сверьте версию со списком выше.

Важно: если PHP установлен из стандартных репозиториев Ubuntu или Debian, номер версии может не совпасть со списком: дистрибутивы вносят исправления в свои пакеты, не меняя основной номер. В этом случае проверьте, что установлено обновление безопасности по этим CVE — оно упоминается в бюллетене безопасности вашего дистрибутива.

Если у вас PHP 8.1 или старше

Ветки PHP 8.1 и ниже больше не получают официальных обновлений от команды PHP. Для них варианта два:

  • Перейти на поддерживаемую версию — 8.3, 8.4 или 8.5. Это самый надёжный вариант.
  • Проверить обновления от дистрибутива. Некоторые дистрибутивы и LTS-поставщики выпускают исправления и для старых веток. Если обновления нет — нужен переход на новую версию.

Учтите также, что поддержка PHP 8.2 заканчивается 31 декабря 2026 года — переход с неё тоже стоит запланировать.

Если обновиться сразу нельзя

Поставьте сайт за Cloudflare. Их WAF уже содержит правила против известных вариантов этой атаки, и они доступны даже на бесплатном тарифе.

Это временная мера, а не замена обновлению: новые варианты эксплойта могут обойти фильтры. Обновите PHP при первой возможности.

Нужна помощь?

Если что-то не получается или вы не уверены, какая версия PHP стоит на вашем сервере, свяжитесь с нашей поддержкой — поможем.

Команда MHost

← Все новости