PHP2Shell: срочное обновление PHP на сайте и как получить доказательство

21 октября 2026 года команда PHP выпустила экстренные релизы, которые закрывают две критические уязвимости под общим названием PHP2Shell. Для владельца бизнеса вывод короткий: нужно срочное обновление PHP на каждом сервере, который отвечает на веб-запросы, и письменное подтверждение от тех, кто им занимается. Ошибки сидят в самом интерпретаторе, поэтому сайты на WordPress и Magento под ударом, даже если все плагины свежие.

Обновление PHP сегодня: что случилось 21 октября и кого это касается

Критическая уязвимость PHP закрыта в версиях 8.5.12, 8.4.27, 8.3.36 и 8.2.35. Исправления закрывают CVE-2026-109618 и CVE-2026-109619: обе дают удалённое выполнение кода без авторизации и оценены в 9,2 балла по шкале CVSS v4.0. По бюллетеню проекта, под угрозой любая установка, которая обрабатывает веб-запросы: PHP-FPM, Apache с mod_php, LiteSpeed.

Значит, защитный плагин CMS или правило фаервола внутри приложения не помогут. По данным BleepingComputer, атаки начались ещё до выхода исправлений, а британский NCSC призвал обновиться сразу или отключить уязвимые системы.

Первые 48 часов: пять вопросов, чтобы обновить версию PHP

Проверка версии PHP начинается с простого: кто-то должен выяснить, что запущено, а хостер или подрядчик — сменить версию. Ваша задача: задавать точные вопросы.

Пять вопросов, которые стоит отправить сегодня

1. Какая версия PHP обслуживает боевой сайт? Подписи в панели управления мало.
2. Это 8.2.35, 8.3.36, 8.4.27, 8.5.12 или новее? Дистрибутивы Linux часто переносят исправление без смены номера, поэтому в журнале изменений пакета должны быть оба CVE.
3. Перезапущены ли все процессы? PHP-FPM и Apache держат старый код до перезапуска.
4. Где ещё работает PHP? Копии, старые лендинги, Docker-образы.
5. Кто подтвердит письменно и к какому часу?

Хороший ответ называет сервер, точную версию, время перезапуска и способ проверки. Версию проверяйте не по словам, а по письму: обновление без перезапуска PHP считается несделанным.

Временные меры и чего они не заменяют

В бюллетене перечислены настройки, которые сужают поверхность атаки. Это мост на часы, не на недели, потому что закрывает обе дыры только обновление. Тот же список для магазинов, которые не успевают, есть в разборе Sansec.

• Включите session.upload_progress.enabled=0 в php.ini или пуле PHP-FPM и перезапустите процессы; ini_set() и .user.ini не помогут.
• Задайте memory_limit=-1 через php_admin_value и держите малый post_max_size, например 8M, если загрузок нет.
• Если на сайте нет файловых форм, закройте multipart/form-data на веб-сервере. Сначала проверьте оформление заказа: некоторые платёжные формы используют этот формат.

Cloudflare и другой WAF прикрывают только трафик, который через них идёт, а режим обслуживания WordPress не спасает: PHP разбирает запрос раньше CMS. Отключая сайт, отдавайте код 503 с веб-сервера или CDN.

Проверка заказов, оплаты и форм после обновления

При обновлении PHP внутри ветки, например с 8.3.35 на 8.3.36, обычно всё проходит незаметно. Переезд с 7.4 на поддерживаемую ветку ломает старые модули и темы, и разработчики на WordPress могут исправить это без пересборки сайта. После обновления PHP каждый раз прогоняйте один короткий тест, сначала на тестовой копии:

• оформите тестовый заказ каждым способом оплаты и верните деньги;
• убедитесь, что приходят письма о заказе и сбросе пароля;
• отправьте форму обратной связи с файлом;
• проверьте вебхуки платёжной системы и доставки;
• просмотрите журнал ошибок PHP и найдите новые PHP-файлы в папках загрузок.

Устаревшая версия PHP как риск для бизнеса: график поддержки и план

Даты окончания поддержки известны за годы, поэтому конец поддержки PHP 8.2 31 декабря 2026 года не сюрприз, а задача, у которой должен быть хозяин. Официальная страница поддерживаемых версий на 22 октября 2026 показывает такие сроки исправлений безопасности:

Ветка PHP	Исправления безопасности до	Что это значит для вас
8.5	31.12.2029	Новейшая; сначала проверьте совместимость плагинов
8.4	31.12.2028	Разумный выбор для большинства сайтов бизнеса
8.3	31.12.2027	Безопасна сейчас; следующий переезд на 2027 год
8.2	31.12.2026	Осталось два месяца; переезжайте в этом квартале
8.1 и старше	Закончились	Официальных исправлений нет; переезд или платная поддержка

Планируйте следующий переезд как продление домена

Внесите дату окончания поддержки в общий календарь с напоминанием за полгода и просите хостера раз в год обновлять версию PHP в спокойную неделю, с тестовой копией и откатом.

Регламент срочных обновлений: кто решает, за сколько часов, как подтверждает

PHP2Shell показал, что между новостью и первыми атаками проходят часы. Регламент на одной странице превращает тревожный заголовок в рабочую задачу, потому что порядок действий согласован до паники. Согласуйте его с владельцем серверов и, если эксплуатацию вы отдали на сторону, с командой, оказывающей DevOps-услуги для бизнеса. Цифры даны как пример.

• Ответственные: один человек у вас и один у подрядчика.
• Триггер: бюллетень вендора с оценкой «критическая» или сообщение о начавшихся атаках.
• Сроки: решение за 4 рабочих часа, заплатка или временная мера за 24 часа.
• Подтверждение: сервер, версия, время перезапуска и итог проверки одним сообщением.

Остальные базовые меры собраны в нашем материале про безопасность сайта для бизнеса. Запишите регламент один раз, и следующий бюллетень займёт часы, а не дни: обновление PHP пройдёт без совещаний.

Что записать в договор с хостингом и подрядчиком

Короткие пункты избавят от споров в разгар инцидента.

• Сайт работает только на ветке PHP, которая получает исправления безопасности.
• Критические исправления ставятся за согласованное число часов, с письменным подтверждением.
• Исполнитель предупреждает об окончании поддержки ветки за полгода и предлагает обновить версию PHP.

Если нужна одна команда на аудит, регламент и переезд, можно заказать обновление версии PHP у нас одним пакетом.