PHP2Shell: 5 вопросов вашему хостинг-провайдеру или IT-ответственному
Выпущены экстренные исправления PHP для двух критических уязвимостей. Пять практических вопросов, которые стоит задать хостинг-провайдеру или IT-ответственному уже сегодня.
Что произошло и почему это касается и вас
21 октября были выпущены экстренные исправления PHP для двух критических уязвимостей (CVE-2026-109618 и CVE-2026-109619). О них писали Help Net Security и Malwarebytes. Эти уязвимости позволяют атаковать сервер без авторизации, и есть сообщения о первых попытках атак.
Это не повод для паники, но это повод действовать сегодня. Если ваш сайт, интернет-магазин или корпоративная система работает на PHP, вам нужно знать, установлена ли на сервере исправленная версия. Эта статья - не пересказ новостей, а пять вопросов, которые вы можете задать своему хостинг-провайдеру или IT-ответственному.
Исправленные версии:
- PHP 8.5.12
- PHP 8.4.27
- PHP 8.3.36
- PHP 8.2.35
PHP 8.1 и более старые версии больше не поддерживаются, поэтому исправлений для них не будет.
Как это выглядит в компании
Типичная ситуация: сайт пару лет назад сделал внешний разработчик, хостинг оплачивает бухгалтерия, а о сервере не думает никто. Плагины WordPress обновляются, и кажется, что всё в порядке.
Именно здесь кроется недоразумение. Обновление WordPress или плагинов не обновляет PHP. PHP - компонент серверного уровня, и его обновляет хостинг-провайдер или администратор сервера. Если никто не взял это на себя, версия может годами оставаться прежней.
Также часто встречаются старые сайты: страница кампании, тестовая среда, прежняя версия сайта. Ими уже никто не пользуется, но они по-прежнему работают и доступны в интернете.
Решение: пять вопросов
1. Какая версия PHP работает на моём сайте?
Это основа для всего остального. Ответ можно получить в панели управления хостингом или у IT-ответственного. Просите точный номер версии, например 8.3.35, а не общий ответ вроде «последняя». Чем точнее номер, тем проще сравнить его с исправленными версиями.
2. Исправление уже установлено (а не только запланировано)?
Разница существенна. «Планируем обновить на этой неделе» означает, что исправления пока нет. Просите подтверждение, что на сервере уже работает исправленная версия, и точный номер версии.
Если хостинг упоминает правила Cloudflare WAF, учтите: это лишь временная защита, а не исправление. Она может снизить риск, пока готовится обновление, но не заменяет его.
3. Относится ли это ко всем моим сайтам, в том числе старым и забытым?
Составьте список всех принадлежащих вам доменов и поддоменов. Спросите, касается ли исправление всех из них. Если у компании несколько хостингов или серверов, проверяйте каждый отдельно. Старые сайты, которые больше не нужны, - хороший повод отключить или удалить.
4. Если для моей версии исправления нет - каков план и срок?
Если у вас PHP 8.1 или более старая версия, ответ будет неприятным: для этой версии исправления не будет. Тогда нужно переходить на поддерживаемую версию. Нужно также проверить, будут ли сайт и плагины работать с новой версией, ведь более старый код иногда требует доработки.
Просите конкретный план: кто это делает, в какую дату, будет ли сначала проверка в тестовой среде и что произойдёт, если что-то перестанет работать. Ответ «скоро» планом не является.
5. Кто отвечает за обновление PHP - вы или я?
Это самый важный вопрос в долгосрочной перспективе. В части хостинг-услуг PHP обновляет поставщик услуги, в других версию должен выбирать сам клиент, а на серверах без управления - администратор. Проверьте договор или описание услуги и добейтесь чёткого ответа в письменной форме. Если ответственного нельзя назвать, скорее всего, его нет.
Что это даёт
После этих пяти вопросов у вас будут:
- известная версия PHP для каждого сайта;
- подтверждение, установлено ли исправление или оно только запланировано;
- полный список сайтов, включая забытые;
- план и срок там, где исправления ещё нет;
- чётко распределённая ответственность за будущие обновления.
Последний пункт самый ценный. Этот случай закончится, но следующее критическое исправление рано или поздно появится. Если ответственность распределена уже сейчас, в следующий раз вам не придётся искать виноватого, а нужно будет лишь проверить выполнение.
С чего начать
Используйте эту короткую последовательность:
- напишите хостинг-провайдеру или IT-ответственному письмо с этими пятью вопросами;
- подготовьте список всех своих доменов, чтобы ничего не забыть;
- просите ответ в письменной форме, с номерами версий и датами;
- если версия PHP 8.1 или старше, сразу договоритесь о плане перехода;
- затем зафиксируйте, кто в дальнейшем отвечает за обновление PHP.
Чтобы задать эти вопросы, не нужно быть техническим специалистом. Достаточно задать их и получить чёткие ответы.
Не знаете, что спросить или как проверить? Поможем - первая консультация бесплатно.
Источники: Help Net Security, Malwarebytes.