PHP2Shell: две критические уязвимости в PHP и что владельцу сайта проверить сегодня

Содержание

1. Что случилось
2. Почему это касается стольких бизнесов
3. Атакуют ли уже
4. Уязвимость нашёл AI, и теперь это гонка
5. Что проверить сегодня
6. Вывод на будущее
7. Вопросы

Обновлено: 22.10.2026, 15:30 по израильскому времени. Будем дополнять статью, если появятся новости.

21 октября команда PHP выпустила исправление двух серьёзных уязвимостей, CVE-2026-109618 и CVE-2026-109619, которые вместе назвали PHP2Shell. Обе позволяют злоумышленнику выполнить код на сервере, не входя на сайт. Если ваш сайт работает на PHP, а скорее всего так и есть, самое время проверить его версию.

Что случилось

PHP - язык программирования, на котором работает большинство сайтов, включая любой сайт на WordPress. 21.10 вышли исправленные версии: 8.5.12, 8.4.27, 8.3.36 и 8.2.35. Обе уязвимости получили оценку опасности 9.2 из 10. В последние дни в сети ходила цифра 10, но фонд, который разрабатывает PHP, назвал её неверной.

Уязвимость касается любого PHP, который отдаёт страницы посетителям, в любой обычной конфигурации. Исследователи показали, что её можно использовать на сайтах WordPress, Drupal, Joomla и Magento.

Почему это касается стольких бизнесов

По данным W3Techs, на PHP работают 69.3% сайтов, у которых известен серверный язык, а 39.6% всех сайтов построены на WordPress. Почти любой малый бизнес в Израиле, который делал сайт за последние десять лет, попадает в эти цифры, даже если никогда не слышал слово PHP.

Атакуют ли уже

На 22.10, середина дня: попытки атак есть, подтверждённых сообщений о массовых взломах пока нет. Amazon заметил первую попытку ещё 17.10, за четыре дня до публикации. Cloudflare включил защитные правила на всех тарифах, включая бесплатный, но сам называет их временной мерой. Американское агентство кибербезопасности CISA советует обновиться немедленно, а системы, которые обновить нельзя, отключить от сети.

Уязвимость нашёл AI, и теперь это гонка

Уязвимость нашли две команды независимо друг от друга, и обе использовали инструменты AI, чтобы просмотреть код. В этом новизна истории: те же инструменты, которые помогают исследователям найти дыру первыми, доступны и тем, кто атакует. То, на что у злоумышленника раньше уходили недели, теперь занимает дни. Поэтому время между выходом исправления и первой попыткой им воспользоваться сокращается, и кто ждёт «конца месяца», чтобы обновиться, ждёт слишком долго.

Что проверить сегодня

1. Узнайте, на какой версии PHP работает сайт. В WordPress: Инструменты, Здоровье сайта, Информация, Сервер. У большинства хостингов версия видна и в панели управления.
2. Если версия от 8.2 до 8.5, убедитесь, что хостинг уже обновил её до исправленной (8.5.12, 8.4.27, 8.3.36 или 8.2.35). Достаточно одного вопроса по почте или в чате.
3. Если версия 8.1 или старше, официального исправления для неё нет. Сайт нужно перевести на поддерживаемую версию, заранее проверив, что плагины и тема с ней работают.
4. Не скачивайте «исправления» и «код для проверки» по неофициальным ссылкам. Часть из них сделана как раз для того, чтобы взломать тех, кто торопится.
5. Защита Cloudflare или хостинга помогает, но не заменяет обновление.

Если сайт делал подрядчик, отправьте ему сегодня один вопрос: «На какой версии PHP работает сайт и обновлён ли он?». Это минута.

Вывод на будущее

Любой сайт на PHP-сервере - это программа, которую кто-то должен обновлять, и не один раз. Настоящий риск - брошенный сайт без понятного ответственного, а не отдельная уязвимость. Когда выбираете, как строить новый сайт, спрашивайте не только сколько он стоит, но и кто его обновляет и что будет в такой день, как 21.10. Подробнее мы писали об этом в статье про сайт, который продаёт, а не просто показывает. Наш собственный сайт, к слову, вообще не работает на PHP, поэтому эта уязвимость его не касается.

Не уверены, в каком состоянии ваш сайт? Чек-ап бизнеса занимает две минуты, или просто напишите нам.

Вопросы

Мой сайт на Wix или Shopify. Меня это касается?

Напрямую нет. На таких управляемых платформах за серверы и обновления отвечает сама платформа. Уязвимость касается сайтов, которые работают на PHP на своём сервере или на обычном хостинге, как большинство сайтов на WordPress.

Как понять, что мой сайт уже взломали?

Что стоит проверить: новые администраторы, которых вы не создавали, недавно изменённые файлы без причины, странные переадресации с вашего сайта на чужие. Если что-то настораживает, обратитесь к хостингу или к специалисту по безопасности.

Хостинг говорит, что всё под контролем. Этого достаточно?

Если он обновил PHP до исправленной версии, да. Попросите письменно подтвердить, какая версия работает сейчас. Если сайт на PHP 8.1 или старше, обновить нужно и сам сайт.

Источники (проверено 22.10.2026): сообщение команды PHP, 21.10.2026; предупреждение CISA, 21.10.2026; Tenable; Wiz Research; Amazon Threat Intelligence; Cloudflare; W3Techs.