[![PHP2Shell — критическая уязвимость PHP CVE-2026-109618 и CVE-2026-109619](https://coma.lv/wp-content/uploads/2026/10/php2shell-cover-ru.jpg)](https://coma.lv/wp-content/uploads/2026/10/php2shell-cover-ru-1030x541.jpg)

# PHP2Shell: критическая уязвимость PHP (CVE-2026-109618) — что делать сегодня

Окт 22, 2026/by [Vadim Pavlovich](https://coma.lv/ru/author/djcoma/)

Важно · обновлено 22.10.2026

21 октября 2026 года разработчики PHP выпустили экстренные исправления для **критической уязвимости PHP — PHP2Shell**: двух ошибок удалённого выполнения кода (RCE), CVE-2026-109618 и CVE-2026-109619. Ошибки находятся в самом движке PHP, поэтому затронут любой сайт на необновлённой версии PHP: WordPress, WooCommerce, Joomla, Drupal, Magento, Laravel или самописный код. Попытки атак начались ещё до публикации исправлений и резко выросли после анонса.

**9.2**оценка CVSS v4.0 для каждой из двух уязвимостей **RCE**удалённое выполнение кода без входа в систему **PHP 5.4+**затронутые версии уходят вплоть до PHP 5.4 **миллионы**попыток эксплуатации в сети Cloudflare (22.10)  [Заказать проверку сайта](https://coma.lv/ru/contacts/)[WhatsApp](https://wa.me/37129394520?text=%D0%97%D0%B4%D1%80%D0%B0%D0%B2%D1%81%D1%82%D0%B2%D1%83%D0%B9%D1%82%D0%B5%21%20%D0%A5%D0%BE%D1%87%D1%83%20%D0%BF%D1%80%D0%BE%D0%B2%D0%B5%D1%80%D0%B8%D1%82%D1%8C%20%D1%81%D0%B2%D0%BE%D0%B9%20%D1%81%D0%B0%D0%B9%D1%82%20%D0%B2%20%D1%81%D0%B2%D1%8F%D0%B7%D0%B8%20%D1%81%20PHP2Shell%20%28CVE-2026-109618%29.%20%D0%90%D0%B4%D1%80%D0%B5%D1%81%20%D1%81%D0%B0%D0%B9%D1%82%D0%B0%3A%20)[Позвонить +371 29394520](tel:+37129394520)

Попытки — это ещё не подтверждённые взломы, и оценки специалистов по доле успешных атак расходятся. Но ждать подтверждения — значит обновляться слишком поздно. Отвечаем в течение одного рабочего дня. В срочных случаях звоните или пишите в WhatsApp.

**Коротко**

- Две критические уязвимости движка PHP (CVSS 9.2 у каждой), для эксплуатации которых не нужен вход в систему.
- Исправлено в **PHP 8.5.12, 8.4.27, 8.3.36 и 8.2.35**. Для PHP 8.1 и старше официального исправления нет.
- Если вы решили обновить PHP, затем обязательно перезапустите PHP-FPM или Apache — до перезапуска работает старый код.
- Хостинг не обновляет PHP или сайт застрял на старой версии? Мы берём хостинг на себя, проверяем и обновляем сайт.

## Что такое PHP2Shell?

PHP2Shell — критическая уязвимость PHP, а точнее пара уязвимостей в интерпретаторе: **CVE-2026-109618** и **CVE-2026-109619**. Команда безопасности PHP оценила обе как **критические (CVSS v4.0: 9.2)** и указывает, что их может эксплуатировать удалённый атакующий без аутентификации.

Обе — ошибки работы с памятью в движке: в одном случае PHP не хватает памяти, когда внутренние данные запроса подготовлены лишь частично; в другом — состояние, оставшееся от предыдущего запроса, указывает на уже освобождённую память. На практике это может позволить атакующему выполнить свой код на сервере. В бюллетене PHP в числе подтверждённых последствий указано и раскрытие содержимого памяти — исследователи предупреждают, что так могут утечь пароли, токены сессий или API-ключи, находящиеся в памяти сервера.

Поскольку ошибка в самом PHP, неважно, насколько аккуратно вы обновляете плагины: если версия PHP на сервере уязвима, под угрозой все сайты на нём. По оценке PHP, риск выше всего у Apache с mod_php, где неавторизованный запрос может вызвать атаку ещё до выполнения кода сайта; затронуты также PHP-FPM, CGI, FrankenPHP и LiteSpeed.

## Хронология: что известно на сегодня

1. 17.10«Ловушки» (honeypot) Amazon фиксируют первую попытку эксплуатации — за четыре дня до публичного анонса.
2. 20.10Компания watchTowr сообщает, что воспроизвела удалённое выполнение кода.
3. 21.10PHP выпускает версии 8.5.12, 8.4.27, 8.3.36 и 8.2.35 (около 14:00 UTC). Cloudflare сообщает о первых атаках и включает начальные правила WAF для всех тарифов.
4. 22.10Глава Cloudflare сообщает, что число попыток эксплуатации выросло до миллионов. Оценки успешности расходятся: Patchstack пока видел только зондирование, а Sansec отмечает, что публичным эксплойтам обычно нужна дополнительная уязвимость в самом приложении.

> Some stats on [#php2shell](https://x.com/hashtag/php2shell?src=hash&ref_src=twsrc%5Etfw). In the 10 hours before it was publicly announced, across the [@Cloudflare](https://x.com/Cloudflare?ref_src=twsrc%5Etfw) network we saw thousands of attempts to exploit it. That jumped to tens of thousands in the 45 minutes post announcement, hundreds of thousands within 2 hours, and millions now.
>
>
>
> — Matthew Prince 🌥 (@eastdakota) [October 22, 2026](https://x.com/eastdakota/status/2113079352682570051?ref_src=twsrc%5Etfw)

Глава Cloudflare Мэттью Принс (Matthew Prince), 22.10.2026: число попыток эксплуатации в сети Cloudflare выросло с тысяч за 10 часов до анонса до миллионов.Загрузить оригинальную запись из XКнопка загрузит стороннее содержимое X и его cookie. Если вы приняли маркетинговые cookie, запись загрузится автоматически.

## Затронут ли мой сайт? Версии PHP в одной таблице

Если сайт работает на PHP и версия PHP на сервере ниже исправленной для своей ветки, считайте его уязвимым. Таблица показывает статус по веткам.

| Ветка PHP | Исправленная версия | Статус | Что делать |
| --- | --- | --- | --- |
| **PHP 8.5** | 8.5.12 | Исправлено | Обновите до 8.5.12 или новее и перезапустите PHP. |
| **PHP 8.4** | 8.4.27 | Исправлено | Обновите до 8.4.27 или новее и перезапустите PHP. |
| **PHP 8.3** | 8.3.36 | Исправлено | Обновите до 8.3.36 или новее и перезапустите PHP. |
| **PHP 8.2** | 8.2.35 | Исправлено | Обновите до 8.2.35 или новее и перезапустите PHP. |
| **PHP 8.1, 8.0, 7.4** | нет официального релиза | Нет официального исправления | Версии EOL (поддержка закончена). Команда безопасности PHP опубликовала минимальные исправления для исходного кода, а некоторые дистрибутивы Linux и хостеры переносят исправление в свои сборки. Запросите письменное подтверждение или перейдите на PHP 8.3 / 8.4. |
| **PHP 7.3 и старше (до 5.4)** | нет | Нет исправления | Версии EOL (поддержка закончена). Нужен переход на поддерживаемую версию и проверка совместимости плагинов и темы. |

**Номер версии может вводить в заблуждение.** Дистрибутивы Linux и некоторые хостеры переносят исправления, не меняя номер, а обновлённый пакет ничего не даёт, пока PHP не перезапущен. Попросите хостера письменно подтвердить, что PHP обновлён и перезапущен.

**В наибольшей зоне риска:**

- сайты на PHP 7.4, 8.0, 8.1 и старше;
- сайты у хостеров, которые ещё не обновили PHP;
- VPS и серверы, за которые никто не отвечает;
- сайты, у которых больше нет ответственного разработчика;
- сайты с устаревшими плагинами или темой, которые мешают безопасно перейти на новый PHP.

## Как проверить версию PHP

- **WordPress:** Tools → Site Health → Info → Server → PHP version (Инструменты → Состояние сайта → Информация → Сервер).
- **Plesk:** Websites & Domains → PHP Settings. **cPanel:** MultiPHP Manager.
- **Спросите хостера:** обновлён ли PHP до релиза с исправлениями CVE-2026-109618 и CVE-2026-109619 и перезапущены ли процессы PHP.
- **Администраторам серверов:** php -v и время последнего перезапуска службы PHP-FPM / Apache.

## Что делать прямо сейчас: 5 шагов

1. **Выясните версию PHP и ответственного.** Кто администрирует сервер — хостер, агентство или вы сами?
2. **Обновите PHP** до 8.3.36, 8.4.27 или новее в своей ветке и перезапустите PHP-FPM / Apache. Попросите подтверждение у хостера.
3. **Если у вас PHP 8.1 или старше,** планируйте переход на поддерживаемую версию. Не переключайте версию прямо на рабочем сайте: сделайте резервную копию, проверьте на тестовой копии (staging) и убедитесь в совместимости плагинов и темы.
4. **Поищите тревожные признаки в логах:** необычные запросы multipart/form-data, за которыми следуют ошибки лимита памяти или повторяющиеся ответы HTTP 500; необычно большие или повреждённые cookie PHPSESSID; необъяснимые перезапуски процессов PHP. Это не доказательство взлома, но проверить стоит.
5. **Если есть подозрение на взлом сайта:** сначала обновите PHP, затем считайте сервер потенциально скомпрометированным — смените доступы к базе данных, админке, SFTP и API, проверьте на вредоносный код и при необходимости восстановите чистую резервную копию. Мы занимаемся [восстановлением взломанных сайтов на WordPress](https://coma.lv/ru/vosstanovlenie-vzlomannogo-wordpress/) (от примерно 250 EUR, в зависимости от объёма).

Временные меры для администраторов серверов (не заменяют обновление)

- По рекомендации PHP: задайте session.upload_progress.enabled=0 в конфигурации пула PHP-FPM или сервера (не в .user.ini) и перезапустите все процессы PHP. На PHP 8.5 дополнительно fatal_error_backtraces=0.
- Cloudflare опубликовал начальные правила WAF для известных векторов эксплуатации, они доступны на всех тарифах, включая бесплатный. Они помогают, только если сервер принимает трафик исключительно от Cloudflare.
- Команда безопасности PHP подчёркивает: эти шаги снижают риск, но не делают установку безопасной — полное решение даёт только обновление.

Не уверены, на какой версии PHP работает ваш сайт?

Пришлите адрес сайта — выясним, на чём он работает и что нужно сделать.

[Заказать проверку сайта](https://coma.lv/ru/contacts/)[WhatsApp](https://wa.me/37129394520?text=%D0%97%D0%B4%D1%80%D0%B0%D0%B2%D1%81%D1%82%D0%B2%D1%83%D0%B9%D1%82%D0%B5%21%20%D0%A5%D0%BE%D1%87%D1%83%20%D0%BF%D1%80%D0%BE%D0%B2%D0%B5%D1%80%D0%B8%D1%82%D1%8C%20%D1%81%D0%B2%D0%BE%D0%B9%20%D1%81%D0%B0%D0%B9%D1%82%20%D0%B2%20%D1%81%D0%B2%D1%8F%D0%B7%D0%B8%20%D1%81%20PHP2Shell%20%28CVE-2026-109618%29.%20%D0%90%D0%B4%D1%80%D0%B5%D1%81%20%D1%81%D0%B0%D0%B9%D1%82%D0%B0%3A%20)[Позвонить +371 29394520](tel:+37129394520)[Telegram](https://t.me/comaweb)[Написать на почту](https://coma.lv/cdn-cgi/l/email-protection#394f585d5054795a56545817554f)

Отвечаем в течение одного рабочего дня. В срочных случаях звоните или пишите в WhatsApp.

## Как мы помогаем: перенос хостинга, проверка сайта и его обновление

PHP не всегда можно просто обновить: хостер медленно отвечает, услугу отключили в качестве меры предосторожности, сайт работает на PHP 8.1 или старше, либо разработчика больше нет. Именно с такими случаями мы работаем: **берём хостинг на себя**, **проверяем сайт**, **обновляем** его, чтобы он работал на исправленной версии PHP, и **снова запускаем**. Это практическая безопасность сайта — не советы, а выполненная работа.

**Хостер не обновляет PHP или не отвечает**Выполняем перенос хостинга на наши серверы, где работают PHP 8.3.36 и 8.4.27. **Сайт работает на PHP 8.1 или старше**Проверяем совместимость плагинов и темы на тестовой копии (staging), затем переводим на поддерживаемую версию PHP. **Сайт приостановлен или отключён**Берём копию, проверяем, обновляем и запускаем на обновлённом сервере — если можем получить файлы и базу данных у прежнего хостера. **Сайтом больше никто не занимается**Берём на себя обслуживание WordPress: обновления, резервные копии, мониторинг (от 50 EUR в месяц + НДС).

1. **Заявка**Напишите или позвоните — достаточно адреса сайта и информации, где он сейчас размещён.
2. **Проверка сайта**Определяем версию PHP, CMS и плагины, устаревшие компоненты и признаки взлома.
3. **Перенос и обновление**Резервная копия, перенос на наши серверы, проверка совместимости на копии и плановое переключение DNS, чтобы простой был минимальным.
4. **Сайт работает**Мониторинг, резервные копии и обновления — при желании в рамках плана обслуживания.

- PHP 8.3.36 и 8.4.27 на наших серверах
- Инфраструктура Hetzner в Финляндии
- Бесплатный SSL
- Поддержка WooCommerce
- Перенос с минимальным простоем

Мы не можем обещать, что старый или повреждённый код без изменений заработает на новом PHP — поэтому начинаем с проверки. После неё вы получаете понятный план и цену до начала работ. Первая консультация бесплатна.

Смотрите также: [WordPress хостинг](https://coma.lv/ru/services/wordpress-hosting/) · [обслуживание сайтов на WordPress](https://coma.lv/ru/services/wordpress-maintenance/) · [восстановление взломанного сайта](https://coma.lv/ru/vosstanovlenie-vzlomannogo-wordpress/) · [что входит в обслуживание сайта](https://coma.lv/ru/2026/07/16/chto-vhodit-v-obsluzhivanie-sajta-wordpress/)

Не уверены, на какой версии PHP работает ваш сайт?

Пришлите адрес сайта — выясним, на чём он работает и что нужно сделать.

[Заказать проверку сайта](https://coma.lv/ru/contacts/)[WhatsApp](https://wa.me/37129394520?text=%D0%97%D0%B4%D1%80%D0%B0%D0%B2%D1%81%D1%82%D0%B2%D1%83%D0%B9%D1%82%D0%B5%21%20%D0%A5%D0%BE%D1%87%D1%83%20%D0%BF%D1%80%D0%BE%D0%B2%D0%B5%D1%80%D0%B8%D1%82%D1%8C%20%D1%81%D0%B2%D0%BE%D0%B9%20%D1%81%D0%B0%D0%B9%D1%82%20%D0%B2%20%D1%81%D0%B2%D1%8F%D0%B7%D0%B8%20%D1%81%20PHP2Shell%20%28CVE-2026-109618%29.%20%D0%90%D0%B4%D1%80%D0%B5%D1%81%20%D1%81%D0%B0%D0%B9%D1%82%D0%B0%3A%20)[Позвонить +371 29394520](tel:+37129394520)[Telegram](https://t.me/comaweb)[Написать на почту](https://coma.lv/cdn-cgi/l/email-protection#e69087828f8ba685898b87c88a90)

Отвечаем в течение одного рабочего дня. В срочных случаях звоните или пишите в WhatsApp.

## Частые вопросы о PHP2Shell

Что такое PHP2Shell?

PHP2Shell — название двух критических уязвимостей движка PHP (CVE-2026-109618 и CVE-2026-109619), позволяющих удалённо выполнять код на сервере без входа в систему. Исправления выпущены 21 октября 2026 года.

Уязвим ли сам WordPress?

Нет — ошибки в PHP, а не в ядре WordPress или конкретном плагине. Но любой сайт на WordPress с уязвимой версией PHP под угрозой, а у сайтов на старом PHP часто и плагины устаревшие, что усложняет переход.

Какие версии PHP безопасны?

Исправленные версии: PHP 8.5.12, 8.4.27, 8.3.36 и 8.2.35 (или новее). Для PHP 8.1 и старше официального релиза нет; доступны только исправления исходного кода и портированные некоторыми поставщиками.

Как узнать свою версию PHP?

В админке WordPress: Tools → Site Health → Info → Server. В панели хостинга (например, Plesk) — в разделе PHP Settings. Или спросите хостера.

Достаточно ли Cloudflare или файрвола?

Правила WAF Cloudflare и другие файрволы помогают против известных схем атак и полезны как временная мера, но команда PHP подчёркивает, что полное решение — обновление PHP.

Мой хостер не обновил PHP. Что делать?

Потребуйте письменное подтверждение и срок. Если получить его не удаётся, сайт можно перенести к другому хостеру — мы можем взять хостинг на себя, проверить и обновить сайт.

Обновлены ли ваши серверы?

Да. На наших хостинг-серверах работают PHP 8.3.36 и 8.4.27 — исправленные версии, — а процессы PHP были перезапущены в день выхода исправлений, 21 октября 2026 года. На наших серверах нет сайтов на PHP 8.1 и старше.

Сколько это стоит?

Первая консультация бесплатна. После проверки сайта называем конкретную цену до начала работ. Постоянное обслуживание WordPress — от 50 EUR в месяц + НДС; восстановление взломанного сайта — от примерно 250 EUR.

Как быстро вы можете начать?

На обращения отвечаем в течение одного рабочего дня; в срочных случаях звоните или пишите в WhatsApp.

## Источники и обновления

Факты сверены по:

- [Patchstack](https://patchstack.com/articles/php-major-vulnerability-alert-10-2026/)
- [Tenable](https://www.tenable.com/blog/php2shell-cve-2026-109618-cve-2026-109619-frequently-asked-questions-about-critical-php-remote)
- [Sansec](https://sansec.io/research/php2shell)
- [The Hacker News](https://thehackernews.com/2026/10/php-issues-emergency-patches-for-two.html)
- [Matthew Prince (Cloudflare), X](https://x.com/eastdakota/status/2113079352682570051)

**22.10.2026** — статья опубликована. Страница будет дополняться по мере появления новой информации.

---

*Наша специализация — разработка, хостинг и обслуживание сайтов на WordPress. Свяжитесь с нами для бесплатной консультации — [vadim@coma.lv](mailto:vadim@coma.lv), [+371 29394520](tel:+37129394520)*