Уязвимость PHP2Shell (CVE-2026-109618, CVE-2026-109619): наши серверы обновлены

21 октября команда PHP выпустила экстренные обновления, закрывающие две критические уязвимости в самом языке — CVE-2026-109618 и CVE-2026-109619, известные под общим названием PHP2Shell. PHP работает на большинстве сайтов в интернете, в том числе на 1С-Битрикс, WordPress, MODX и других CMS, поэтому уязвимость касается очень многих. Рассказываем, что известно, какие версии безопасны и что делать, если ваш сайт размещён не у нас.

Что случилось

• Критическая опасность. Команда PHP оценила обе уязвимости в 9.2 балла из 10 по шкале CVSS 4.0.
• Взлом без пароля. Уязвимости позволяют злоумышленнику удалённо выполнить свой код на сервере, не входя ни в какую учётную запись. Это худший сценарий: получив такой доступ, можно похитить базу данных, разместить вредоносный код или использовать сервер для дальнейших атак.
• Затронуты практически все сайты на PHP, которые обрабатывают веб-запросы, — независимо от CMS и способа запуска PHP. Уязвимый код, по данным исследователей, присутствует в ветках начиная с PHP 5.4.
• Атаки уже начались. Amazon, Cloudflare и watchTowr сообщают о попытках эксплуатации, а в сети распространяется код для атак. По оценке Palo Alto Networks, потенциально уязвимы более 22 миллионов доступных из интернета серверов.

Какие версии PHP безопасны

Команда PHP выпустила исправленные версии 8.5.12, 8.4.27, 8.3.36 и 8.2.35. Для веток 7.4–8.1 официальных релизов нет — исправления выпускают поставщики операционных систем и хостинг-платформы в своих сборках. Ветки 5.4–7.3 давно не поддерживаются, и для них исправлений от проекта PHP не будет: такие сайты нужно переводить на актуальную версию.

Команда PHP подчёркивает: обновление — единственное полное решение. Временные меры в настройках и правила веб-фильтров лишь снижают риск.

Что сделали мы

• обновили PHP на всех серверах, где размещаем и обслуживаем сайты клиентов, — работы завершены до пятницы, 23 октября;
• перезапустили службы PHP и проверили, что исправления действительно применены;
• проверили работу сайтов после обновления: формы, оплату, интеграции и обмен с 1С;
• продолжаем следить за журналами серверов и подозрительной активностью.

Если вы наш клиент и ваш сайт размещён на наших серверах, никаких действий от вас не требуется.

Если ваш сайт размещён в другом месте

1. Узнайте версию PHP в панели управления хостингом или у его техподдержки.
2. Спросите хостинг, установлены ли исправления CVE-2026-109618 и CVE-2026-109619. Крупные хостинги обновляются сами, но лучше получить подтверждение.
3. Если у вас свой VPS или выделенный сервер, обновите пакеты PHP и перезапустите PHP-FPM и веб-сервер. Без перезапуска старый код продолжит работать.
4. Если сайт работает на PHP 5.x или 7.x, запланируйте переход на актуальную версию. Обычно вместе с ним нужно обновить CMS и модули — это работа для разработчика, а не кнопка в панели.
5. Если обновление прошло с опозданием, смените пароли от админки, FTP/SSH, базы данных и API-ключи.
6. Проверьте сайт на следы взлома: новые файлы и администраторы, незнакомые редиректы, спам-страницы в поиске.

Поможем обновить и защитить сайт

Если ваш сайт размещён на стороннем хостинге или работает на старой версии PHP, мы поможем: проверим версию и настройки, обновим PHP, при необходимости переведём сайт на актуальную версию вместе с CMS и модулями и проверим его на следы взлома. А на техподдержке берём такие обновления на себя, чтобы вы узнавали об уязвимостях из новостей, когда всё уже закрыто. Оставьте заявку — проверим ваш сайт в приоритетном порядке.