21 октября 2026 года команда PHP выпустила исправления двух критических уязвимостей, которые получили название PHP2Shell (CVE-2026-109618 и CVE-2026-109619). Они позволяют злоумышленнику запустить на сервере свой код без логина и пароля. На PHP работает огромная часть интернета, в том числе WordPress, WooCommerce, Drupal и Joomla.
Почему говорят о 14 годах?
Проблемный код появился в PHP вместе с версией 5.4 в 2012 году. Одну из ошибок нашли при аудите PHP ещё в 2024 году, но посчитали, что воспользоваться ею невозможно, и исправлять не стали. В 2026 году исследователи с помощью искусственного интеллекта нашли способ её эксплуатировать. Попытки атак заметили ещё до официального раскрытия.
Кого это касается?
- Всех сайтов на PHP версий с 5.4 по 8.5, которые ещё не обновлены.
- Особенно тех, кто работает на старых версиях PHP (7.4, 8.0, 8.1), для которых официальные обновления больше не выпускаются.
Что сделать прямо сейчас
- Проверьте версию PHP. Исправленные версии — 8.2.35, 8.3.36, 8.4.27 и 8.5.12. Версию можно увидеть в панели хостинга или в WordPress в разделе «Инструменты → Здоровье сайта».
- Напишите хостинг-провайдеру. Спросите, обновлён ли сервер. Крупные хостинги уже установили исправления.
- Если PHP старый, планируйте переход. Сайт на PHP 7.x теперь — серьёзный риск. Переход на новую версию требует проверки темы и плагинов.
- Проверьте логи. Исследователи советуют искать подозрительную активность начиная с 17 октября.
Какой вывод для предпринимателя?
Сайт — это не разовая покупка. Программы, на которых он работает, требуют постоянного обслуживания, и кто-то должен отвечать за то, чтобы обновления ставились вовремя. Искусственный интеллект теперь ускоряет и поиск ошибок, и атаки, поэтому время от раскрытия уязвимости до атак становится всё короче.
Серверы клиентов на нашем сопровождении мы проверили и обновили сразу после выхода исправлений. Если вы не знаете, на какой версии PHP работает ваш сайт, посмотрите наши услуги по обслуживанию или попросите бесплатную проверку.