PHP2Shell: как проверить и обновить PHP-сервер
Если ваш сайт работает на PHP, это касается вас. 21 октября 2026 года проект PHP выпустил исправления для двух критических уязвимостей, CVE-2026-109618 и CVE-2026-109619. В тот же день ФБР, АНБ, британский NCSC и премьер-министр Японии призвали организации проверить свой PHP. Ниже самое важное в виде шагов, которые можно выполнить за один подход.
Ситуация в четырёх строках
- Обе уязвимости находятся в ядре PHP, и каждая оценена в 9,2 балла по CVSS 4.0.
- По бюллетеню самого PHP, злоумышленник может выполнить код на сервере без входа в систему.
- Атаки замечали ещё до публикации исправления.
- Обновление WordPress или плагинов не помогает. Нужно обновить сам PHP.
Смотрите видео
Шаг 1: выясните, где работает PHP
Начните с того, что доступно из интернета, затем добавьте панели управления и продукты, в которые PHP встроен. Запишите версию PHP на каждом сервере и то, что используется: mod_php, PHP-FPM или что-то иное. По бюллетеню PHP, наибольший риск у mod_php.
php -v
php-fpm -v
apachectl -M | grep -i php
ps -eo pid,ppid,user,cmd | grep -E "php-fpm|apache2|httpd" | grep -v grepШаг 2: сравните с исправленными версиями
| Ветка | Исправлено в |
|---|---|
| 8.5 | 8.5.12 |
| 8.4 | 8.4.27 |
| 8.3 | 8.3.36 |
| 8.2 | 8.2.35 (поддержка заканчивается 31 декабря 2026) |
| 8.1 и старше | Официального выпуска нет. Узнайте у поставщика про бэкпорт или перейдите на другую ветку. |
Если PHP установлен из пакета дистрибутива, номер версии после бэкпорта может остаться прежним. Читайте журнал изменений, например в Debian и Ubuntu: apt changelog php8.3-fpm | head -n 30.
Шаг 3: обновить, перезапустить, проверить
Обновите пакет или сборку и перезапустите процессы, которые обрабатывают веб-запросы. Работающий PHP-FPM использует старый код, пока его не перезапустят. После этого проверьте версию и со стороны веба, а не только в командной строке.
Шаг 4: поищите следы злоупотребления
Просмотрите логи начиная с 20 октября. Подозрительно, когда пользователь веб-сервера запускает оболочки, curl или wget. При признаках взлома ФБР советует изолировать систему, сохранить логи и сообщить в местное отделение ФБР или на ic3.gov.
Если сегодня обновиться нельзя
PHP опубликовал временные меры на php.net. Они снижают риск, но не устраняют его. Правила межсетевого экрана Cloudflare сам технический директор компании назвал временным решением. ФБР и АНБ советуют отключить систему от сети, пока она не будет полностью защищена.
Почему это привлекло столько внимания
Около 69% сайтов с известным серверным языком работают на PHP, а уязвимость лежит под любой CMS и любым фреймворком. В Бельгии медиагруппа, университет и несколько больниц в целях предосторожности отключили сайты. Компании теперь считают сроки установки патчей в часах, воспринимают неподдерживаемый PHP как инцидент и заранее прописывают письменный план отключения сайта.
Где здесь ИИ
По сообщениям, исследователи использовали инструменты ИИ для поиска этих уязвимостей, и защитники могут применить ту же идею. Например, Claude Managed Agents от Anthropic поддерживает оркестрацию нескольких агентов: главный агент поручает инвентаризацию версий, аудит зависимостей и разбор логов отдельным агентам и собирает один отчёт. Любое изменение должен утверждать человек. Доступность продуктов меняется, поэтому сверяйтесь с документацией Anthropic.
Частые вопросы
Решает ли проблему обновление WordPress?
Нет. Уязвимость в самом PHP, поэтому обновлять нужно PHP.
Достаточно ли Cloudflare?
Нет. Он помогает против известных шаблонов, но не заменяет патч.
Где узнать больше о безопасности PHP?
Я веду справочник по понятиям, терминам и упражнениям: PHP Master Guide в Notion.