21 октября 2026 года команда PHP выпустила внеплановые обновления, закрывающие две критические уязвимости — CVE-2026-109618 и CVE-2026-109619, получившие общее имя PHP2Shell. Обе позволяют выполнить произвольный код на сервере без всякой аутентификации и получили оценку 9,2 из 10. Попытки атак фиксировались ещё до выхода патчей. Если ваш сайт или веб-приложение работают на виртуальном сервере — обновлять PHP придётся вам, а не хостеру.
Что произошло
Уязвимости затрагивают сам интерпретатор PHP, а не конкретный движок сайта: под ударом любая установка, обрабатывающая веб-запросы — Apache с mod_php (наиболее рискованная конфигурация), PHP-FPM, php-cgi, FrankenPHP и LiteSpeed. Один неавторизованный запрос может запустить атаку ещё до начала работы кода приложения, поэтому защита средствами самого сайта здесь бессильна. 26 октября американское агентство CISA внесло обе уязвимости в каталог активно эксплуатируемых — это высший уровень тревоги в отрасли.
Кого это касается
Практически каждого владельца сайта: на PHP работают WordPress, 1С-Битрикс, Drupal, Laravel и тысячи самописных систем. Исправления выпущены для веток 8.2–8.5 — обновиться нужно до версий 8.2.35, 8.3.36, 8.4.27 или 8.5.12 соответственно. Дистрибутивы Linux также выпустили свои пакеты с патчами.
Важно: ветки PHP 7.4, 8.0 и 8.1 поддержки больше не получают — патчей для них не будет. Если ваш сайт работает на старой версии, единственный надёжный путь — плановый переход на актуальную ветку с проверкой совместимости.
Почему на VPS обновление — ваша задача
На виртуальном хостинге провайдер сам обновляет общий стек. Но на выделенном виртуальном сервере хостер отвечает только за «железо», сеть и гипервизор: всё, что внутри — операционная система, интерпретатор PHP, веб-сервер, базы данных — зона ответственности владельца. Это стандартная модель unmanaged VPS, и она подразумевает, что кто-то постоянно следит за обновлениями и уязвимостями. «Создал сервер и оставил» — именно так накапливаются взломанные сайты.
Что сделать прямо сейчас
- Проверьте версию PHP на всех серверах, доступных из интернета: если она ниже 8.2.35, 8.3.36, 8.4.27 или 8.5.12 — вы уязвимы;
- Обновите пакеты штатными средствами дистрибутива и перезапустите PHP-FPM или Apache;
- Проверьте логи веб-сервера начиная с 17 октября на аномальные запросы — первые попытки атак датируются этим днём;
- Спланируйте переход с неподдерживаемых версий — это проект на несколько дней, а не на год;
- Включите мониторинг обновлений безопасности, чтобы следующая критическая уязвимость не застала врасплох.
Вывод
PHP2Shell — редкий случай, когда счёт идёт на дни: эксплойты публичны, атаки идут, а уязвимы миллионы сайтов. Мы в СИС АДМИН обслуживаем не только офисное оборудование, но и виртуальные серверы: следим за обновлениями, применяем патчи безопасности, настраиваем мониторинг и резервное копирование. Если некому заняться вашим сервером — посмотрите администрирование Linux-серверов и защиту инфраструктуры или оставьте заявку: проверим версии и закроем уязвимость.