PHP2Shell: критическая уязвимость PHP (CVE-2026-109618) — что делать сегодня

Что такое PHP2Shell?

PHP2Shell — критическая уязвимость PHP, а точнее пара уязвимостей в интерпретаторе: CVE-2026-109618 и CVE-2026-109619. Команда безопасности PHP оценила обе как критические (CVSS v4.0: 9.2) и указывает, что их может эксплуатировать удалённый атакующий без аутентификации.

Обе — ошибки работы с памятью в движке: в одном случае PHP не хватает памяти, когда внутренние данные запроса подготовлены лишь частично; в другом — состояние, оставшееся от предыдущего запроса, указывает на уже освобождённую память. На практике это может позволить атакующему выполнить свой код на сервере. В бюллетене PHP в числе подтверждённых последствий указано и раскрытие содержимого памяти — исследователи предупреждают, что так могут утечь пароли, токены сессий или API-ключи, находящиеся в памяти сервера.

Поскольку ошибка в самом PHP, неважно, насколько аккуратно вы обновляете плагины: если версия PHP на сервере уязвима, под угрозой все сайты на нём. По оценке PHP, риск выше всего у Apache с mod_php, где неавторизованный запрос может вызвать атаку ещё до выполнения кода сайта; затронуты также PHP-FPM, CGI, FrankenPHP и LiteSpeed.

Хронология: что известно на сегодня

1. 17.10«Ловушки» (honeypot) Amazon фиксируют первую попытку эксплуатации — за четыре дня до публичного анонса.
2. 20.10Компания watchTowr сообщает, что воспроизвела удалённое выполнение кода.
3. 21.10PHP выпускает версии 8.5.12, 8.4.27, 8.3.36 и 8.2.35 (около 14:00 UTC). Cloudflare сообщает о первых атаках и включает начальные правила WAF для всех тарифов.
4. 22.10Глава Cloudflare сообщает, что число попыток эксплуатации выросло до миллионов. Оценки успешности расходятся: Patchstack пока видел только зондирование, а Sansec отмечает, что публичным эксплойтам обычно нужна дополнительная уязвимость в самом приложении.

Some stats on #php2shell. In the 10 hours before it was publicly announced, across the @Cloudflare network we saw thousands of attempts to exploit it. That jumped to tens of thousands in the 45 minutes post announcement, hundreds of thousands within 2 hours, and millions now.

— Matthew Prince 🌥 (@eastdakota) October 22, 2026

Загрузить оригинальную запись из XКнопка загрузит стороннее содержимое X и его cookie. Если вы приняли маркетинговые cookie, запись загрузится автоматически.

Затронут ли мой сайт? Версии PHP в одной таблице

Если сайт работает на PHP и версия PHP на сервере ниже исправленной для своей ветки, считайте его уязвимым. Таблица показывает статус по веткам.

Ветка PHP	Исправленная версия	Статус	Что делать
PHP 8.5	8.5.12	Исправлено	Обновите до 8.5.12 или новее и перезапустите PHP.
PHP 8.4	8.4.27	Исправлено	Обновите до 8.4.27 или новее и перезапустите PHP.
PHP 8.3	8.3.36	Исправлено	Обновите до 8.3.36 или новее и перезапустите PHP.
PHP 8.2	8.2.35	Исправлено	Обновите до 8.2.35 или новее и перезапустите PHP.
PHP 8.1, 8.0, 7.4	нет официального релиза	Нет официального исправления	Версии EOL (поддержка закончена). Команда безопасности PHP опубликовала минимальные исправления для исходного кода, а некоторые дистрибутивы Linux и хостеры переносят исправление в свои сборки. Запросите письменное подтверждение или перейдите на PHP 8.3 / 8.4.
PHP 7.3 и старше (до 5.4)	нет	Нет исправления	Версии EOL (поддержка закончена). Нужен переход на поддерживаемую версию и проверка совместимости плагинов и темы.

Номер версии может вводить в заблуждение. Дистрибутивы Linux и некоторые хостеры переносят исправления, не меняя номер, а обновлённый пакет ничего не даёт, пока PHP не перезапущен. Попросите хостера письменно подтвердить, что PHP обновлён и перезапущен.

В наибольшей зоне риска:

• сайты на PHP 7.4, 8.0, 8.1 и старше;
• сайты у хостеров, которые ещё не обновили PHP;
• VPS и серверы, за которые никто не отвечает;
• сайты, у которых больше нет ответственного разработчика;
• сайты с устаревшими плагинами или темой, которые мешают безопасно перейти на новый PHP.

Как проверить версию PHP

• WordPress: Tools → Site Health → Info → Server → PHP version (Инструменты → Состояние сайта → Информация → Сервер).
• Plesk: Websites & Domains → PHP Settings. cPanel: MultiPHP Manager.
• Спросите хостера: обновлён ли PHP до релиза с исправлениями CVE-2026-109618 и CVE-2026-109619 и перезапущены ли процессы PHP.
• Администраторам серверов: php -v и время последнего перезапуска службы PHP-FPM / Apache.

Что делать прямо сейчас: 5 шагов

1. Выясните версию PHP и ответственного. Кто администрирует сервер — хостер, агентство или вы сами?
2. Обновите PHP до 8.3.36, 8.4.27 или новее в своей ветке и перезапустите PHP-FPM / Apache. Попросите подтверждение у хостера.
3. Если у вас PHP 8.1 или старше, планируйте переход на поддерживаемую версию. Не переключайте версию прямо на рабочем сайте: сделайте резервную копию, проверьте на тестовой копии (staging) и убедитесь в совместимости плагинов и темы.
4. Поищите тревожные признаки в логах: необычные запросы multipart/form-data, за которыми следуют ошибки лимита памяти или повторяющиеся ответы HTTP 500; необычно большие или повреждённые cookie PHPSESSID; необъяснимые перезапуски процессов PHP. Это не доказательство взлома, но проверить стоит.
5. Если есть подозрение на взлом сайта: сначала обновите PHP, затем считайте сервер потенциально скомпрометированным — смените доступы к базе данных, админке, SFTP и API, проверьте на вредоносный код и при необходимости восстановите чистую резервную копию. Мы занимаемся восстановлением взломанных сайтов на WordPress (от примерно 250 EUR, в зависимости от объёма).

Временные меры для администраторов серверов (не заменяют обновление)

• По рекомендации PHP: задайте session.upload_progress.enabled=0 в конфигурации пула PHP-FPM или сервера (не в .user.ini) и перезапустите все процессы PHP. На PHP 8.5 дополнительно fatal_error_backtraces=0.
• Cloudflare опубликовал начальные правила WAF для известных векторов эксплуатации, они доступны на всех тарифах, включая бесплатный. Они помогают, только если сервер принимает трафик исключительно от Cloudflare.
• Команда безопасности PHP подчёркивает: эти шаги снижают риск, но не делают установку безопасной — полное решение даёт только обновление.

Как мы помогаем: перенос хостинга, проверка сайта и его обновление

PHP не всегда можно просто обновить: хостер медленно отвечает, услугу отключили в качестве меры предосторожности, сайт работает на PHP 8.1 или старше, либо разработчика больше нет. Именно с такими случаями мы работаем: берём хостинг на себя, проверяем сайт, обновляем его, чтобы он работал на исправленной версии PHP, и снова запускаем. Это практическая безопасность сайта — не советы, а выполненная работа.

1. ЗаявкаНапишите или позвоните — достаточно адреса сайта и информации, где он сейчас размещён.
2. Проверка сайтаОпределяем версию PHP, CMS и плагины, устаревшие компоненты и признаки взлома.
3. Перенос и обновлениеРезервная копия, перенос на наши серверы, проверка совместимости на копии и плановое переключение DNS, чтобы простой был минимальным.
4. Сайт работаетМониторинг, резервные копии и обновления — при желании в рамках плана обслуживания.

• PHP 8.3.36 и 8.4.27 на наших серверах
• Инфраструктура Hetzner в Финляндии
• Бесплатный SSL
• Поддержка WooCommerce
• Перенос с минимальным простоем

Мы не можем обещать, что старый или повреждённый код без изменений заработает на новом PHP — поэтому начинаем с проверки. После неё вы получаете понятный план и цену до начала работ. Первая консультация бесплатна.

Смотрите также: WordPress хостинг · обслуживание сайтов на WordPress · восстановление взломанного сайта · что входит в обслуживание сайта

Частые вопросы о PHP2Shell

Что такое PHP2Shell?

PHP2Shell — название двух критических уязвимостей движка PHP (CVE-2026-109618 и CVE-2026-109619), позволяющих удалённо выполнять код на сервере без входа в систему. Исправления выпущены 21 октября 2026 года.

Уязвим ли сам WordPress?

Нет — ошибки в PHP, а не в ядре WordPress или конкретном плагине. Но любой сайт на WordPress с уязвимой версией PHP под угрозой, а у сайтов на старом PHP часто и плагины устаревшие, что усложняет переход.

Какие версии PHP безопасны?

Исправленные версии: PHP 8.5.12, 8.4.27, 8.3.36 и 8.2.35 (или новее). Для PHP 8.1 и старше официального релиза нет; доступны только исправления исходного кода и портированные некоторыми поставщиками.

Как узнать свою версию PHP?

В админке WordPress: Tools → Site Health → Info → Server. В панели хостинга (например, Plesk) — в разделе PHP Settings. Или спросите хостера.

Достаточно ли Cloudflare или файрвола?

Правила WAF Cloudflare и другие файрволы помогают против известных схем атак и полезны как временная мера, но команда PHP подчёркивает, что полное решение — обновление PHP.

Мой хостер не обновил PHP. Что делать?

Потребуйте письменное подтверждение и срок. Если получить его не удаётся, сайт можно перенести к другому хостеру — мы можем взять хостинг на себя, проверить и обновить сайт.

Обновлены ли ваши серверы?

Да. На наших хостинг-серверах работают PHP 8.3.36 и 8.4.27 — исправленные версии, — а процессы PHP были перезапущены в день выхода исправлений, 21 октября 2026 года. На наших серверах нет сайтов на PHP 8.1 и старше.

Сколько это стоит?

Первая консультация бесплатна. После проверки сайта называем конкретную цену до начала работ. Постоянное обслуживание WordPress — от 50 EUR в месяц + НДС; восстановление взломанного сайта — от примерно 250 EUR.

Как быстро вы можете начать?

На обращения отвечаем в течение одного рабочего дня; в срочных случаях звоните или пишите в WhatsApp.

Источники и обновления

Факты сверены по:

• Patchstack
• Tenable
• Sansec
• The Hacker News
• Matthew Prince (Cloudflare), X

22.10.2026 — статья опубликована. Страница будет дополняться по мере появления новой информации.

---

Наша специализация — разработка, хостинг и обслуживание сайтов на WordPress. Свяжитесь с нами для бесплатной консультации — [email protected], +371 29394520