PHP2Shell: экстренное обновление безопасности для вашего сайта сегодня

Что произошло

21 октября 2026 года команда PHP выпустила экстренные обновления безопасности: PHP 8.5.12, 8.4.27, 8.3.36 и 8.2.35. Они устраняют две критические уязвимости, известные под общим названием "PHP2Shell": CVE-2026-109618 и CVE-2026-109619. О них предупреждают как сообщение PHP по безопасности, так и CERT-EU Security Advisory 2026-018, а информацию подтверждают также Rapid7, Tenable и Help Net Security.

Обе уязвимости имеют оценку CVSS v4.0 9.2 из 10 и позволяют злоумышленнику удалённо выполнить код без авторизации. Первая - повреждение памяти при обработке PHP исчерпания памяти (memory_limit), например при специально сформированных запросах с формами или загрузкой файлов. Вторая - устаревшее внутреннее состояние, которое сохраняется между запросами и может быть использовано в следующем запросе. Исследователи безопасности уже сообщают о наблюдаемых попытках атак.

Что это значит для компаний в Латвии

Под угрозой все установки PHP, обслуживающие веб-запросы: PHP-FPM, Apache mod_php, php-cgi, FrankenPHP и LiteSpeed. Уязвимый код существует начиная с PHP 5.4, то есть с 2012 года.

На практике это касается очень многих компаний, поскольку на PHP работают:

• сайты и интернет-магазины на WordPress и WooCommerce;
• решения на Joomla, Drupal и Magento;
• Laravel и другие индивидуально разработанные корпоративные порталы, формы заявок и клиентские зоны.

Если ваш сайт используется для приёма заказов, заявок или хранения данных клиентов, он является частью деятельности компании. Успешная атака может означать не только испорченную страницу, но и доступ к данным и серверу.

Если сегодня ваш сайт работает медленно или ненадолго пропал, скорее всего, дело не в вас. Хостинги сейчас массово устанавливают обновления. IONOS на своей странице статуса сообщил, что устанавливает обновление безопасности на всех системах, планирует завершить это в течение 24 часов и что в это время некоторые сайты могут работать медленно или быть временно недоступны. В качестве меры предосторожности IONOS также временно отключил экземпляры Nextcloud. Это обычная "авральная" работа, и лучше отнестись к ней спокойно, чем надеяться, что делать ничего не нужно.

Как действовать на практике

Действия зависят от того, где размещён ваш сайт.

Общий хостинг (сервер вы сами не администрируете):

• напишите в поддержку хостинга и уточните, установлено ли обновление и на какую версию PHP переключён ваш аккаунт;
• если ответ "пока нет", спросите, когда это будет сделано;
• не принимайте краткое замедление или недоступность сегодня за свою ошибку.

VPS или собственный сервер:

• обновите PHP до 8.5.12, 8.4.27, 8.3.36 или 8.2.35 в зависимости от используемой ветки;
• после обновления перезапустите PHP-FPM или Apache, иначе продолжит работать старый процесс;
• проверьте версию командой php -v и в самой среде сайта;
• клиентам IONOS с VPS или собственными серверами нужно обновить PHP самостоятельно: хостинг не сделает этого за вас.

Если вы используете PHP 8.1 или более старую версию:

• официального релиза для этих версий не будет; команда PHP опубликовала только минимальные патчи исходного кода для версий 7.4-8.1, и они предназначены для тех, кто компилирует PHP самостоятельно;
• на практике это означает, что нужно перейти на PHP 8.2 или новее;
• планируйте переход немедленно, поскольку более старая версия больше не получит нормальной защиты.

Перед сменой крупной версии сделайте полную резервную копию и, по возможности, сначала проверьте всё в тестовой среде. Плагины WordPress, старые темы и индивидуально написанный код могут быть несовместимы с более новым PHP, поэтому для интернет-магазина это нельзя делать в последний момент и без плана.

С чего начать

На первом этапе достаточно нескольких шагов, которые можно выполнить сегодня:

1. Выясните, где размещён ваш сайт и кто за него отвечает: хостинг, разработчик или ваш ИТ-отдел.
2. Проверьте версию PHP в панели управления хостингом (обычно в разделе PHP или Domains/Web).
3. Сравните её с исправленными версиями: 8.5.12, 8.4.27, 8.3.36, 8.2.35.
4. Если версия старше или неясна, свяжитесь с хостингом или разработчиком и запросите письменное подтверждение.
5. Сделайте резервную копию, если в ближайшее время предстоит смена версии.
6. Составьте список всех PHP-систем в компании: основной сайт, интернет-магазин, интранет, старые рекламные страницы, тестовые среды. Забытые сайты часто оказываются наименее защищёнными.

В среднесрочной перспективе этот случай показывает, что стоит упорядочить и сам процесс: кто следит за сообщениями о безопасности, кто отвечает за обновления и как компания узнаёт, что хостинг что-то изменил. Это несложно: один ответственный человек, короткий список проверок и регулярные окна обновлений. Такие вещи можно частично автоматизировать, например с помощью уведомлений о несоответствии версий.

Главное сегодня: не паниковать, но и не медлить. Проверьте версию, спросите хостинг и при необходимости запланируйте переход на поддерживаемую версию PHP. Если вам нужна помощь в наведении порядка с поддержкой сайта и систем компании, AI-Lab Space может помочь выстроить понятный процесс.