Уязвимости PHP2Shell: что делать владельцу сайта

21 октября 2026 года разработчики PHP выпустили срочное обновление. Оно закрывает две критические уязвимости, через которые можно выполнить свой код на сервере без пароля и входа на сайт. Разбираем, кого это касается и что сделать в ближайшие дни.

Что случилось

Уязвимости получили номера CVE-2026-109618 и CVE-2026-109619, исследователи называют их PHP2Shell. Команда PHP оценила каждую в 9,2 балла из 10 по шкале CVSS 4.0.

По данным разработчиков, под угрозой любая установка PHP, которая обрабатывает запросы из интернета: PHP-FPM, Apache с mod_php, php-cgi, FrankenPHP и LiteSpeed. Выше всего риск для mod_php: для него показана атака, которая срабатывает раньше кода сайта.

Подробности попали в сеть до выхода исправления. В первые дни Cloudflare и Sansec сообщали о попытках атак.

Почему обновление CMS не поможет

Ошибка в самом PHP, а не в 1С-Битрикс, WordPress или их модулях. Обновлять CMS полезно по другим причинам, но эти уязвимости закрывает только обновление PHP на сервере.

Что сделать

1. Узнайте версию PHP. Она указана в панели хостинга, в настройках сайта или домена. В WordPress её показывает раздел «Инструменты», пункт «Здоровье сайта», вкладка «Информация», блок «Сервер». Можно спросить поддержку хостинга.
2. Сравните с исправленными версиями: 8.5.12, 8.4.27, 8.3.36 и 8.2.35. У пакетов дистрибутивов Linux свой номер сборки, поэтому наличие исправления в них уточняйте в описании обновления.
3. Обновите PHP. На обычном хостинге это делает хостинг. На своём сервере владелец или администратор обновляет пакеты PHP из репозитория дистрибутива и перезапускает PHP-FPM или Apache.
4. Если версия 8.1 или более ранняя, официальных обновлений не будет. Планируйте переход на поддерживаемую версию. Старое ядро Битрикса, модули и плагины WordPress могут не работать на новом PHP, поэтому переход проверяют на копии сайта.
5. Проверьте следы взлома, если сайт работал на уязвимой версии: новые PHP-файлы в папке сайта, незнакомые задания cron, новых администраторов, чужие SSH-ключи.

Что в новостях преувеличено

• «Старые сайты навсегда перестанут работать». Сайт на старом PHP продолжит работать, но останется уязвимым.
• «Максимальный уровень угрозы». Оценка 9,2 из 10: это критический уровень, но не максимальный.
• «Сайты нужно отключать». Финляндия закрывала госсервисы до выхода исправления. После обновления PHP такой необходимости нет. Если обновить PHP пока нельзя, CERT-EU советует закрыть сайт от доступа из интернета до обновления.

Источники

• Сообщение команды PHP от 21 октября 2026 года
• Описание CVE-2026-109618
• Описание CVE-2026-109619
• Предупреждение британского центра кибербезопасности NCSC