Владельцам сайтов на WordPress и «Битриксе»: уязвимость PHP2Shell позволяет взломать сервер одним запросом

21 октября команда PHP выпустила экстренные обновления, которые закрывают две критические уязвимости — CVE-2026-109618 и CVE-2026-109619. Исследователи назвали их PHP2Shell. Через них можно выполнить свой код на веб-сервере без логина и пароля: по данным Help Net Security, рабочий эксплойт срабатывает от одного запроса ещё до того, как запустится код самого сайта.

PHP — язык, на котором работает большинство сайтов в интернете: по данным W3Techs, это 69,3% сайтов с известным серверным языком. На нём написаны WordPress и «1С-Битрикс», а значит, интернет-магазины, лендинги, сайты клиник, салонов и небольших компаний. Посетителям сайтов делать ничего не нужно, но владельцу сайта обновляться нужно сейчас, а не в плановом порядке.

Что известно о PHP2Shell

Ключевые факты по состоянию на вечер 21 октября:

• Оценка опасности — 9,2 из 10 по шкале CVSS 4.0 у самой команды PHP, в ряде ранних публикаций — 10 из 10.
• Затронуты все установки PHP, которые обслуживают веб-запросы: PHP-FPM, Apache с mod_php, php-cgi, FrankenPHP, LiteSpeed. Самой уязвимой называют связку с mod_php.
• Эксплойт уже существует. Технический директор Cloudflare сообщил, что компания видит первые атаки.
• Информация утекла раньше срока. Идентификаторы уязвимостей разошлись 20 октября, хотя, по данным watchTowr, раскрытие планировали на 22-е.

Масштаб проблемы специалисты по безопасности оценивают без дипломатии.

«Ситуация с PHP приведёт к массе инцидентов — это одна из крупнейших уязвимостей за годы», — исследователь безопасности Кевин Бомонт.

Отдельный риск — серверы, которые никто не обслуживает: старые сайты, забытые лендинги, встроенные системы. Их обновят последними или не обновят вовсе.

Читайте также: Арендуете сервер у FirstVDS? Через уязвимость в VMmanager у клиентов могли украсть пароли, ключи и криптокошельки

Если сайт работает у вас или у вашей компании, порядок действий простой, но каждый шаг важен.

Что сделать владельцу сайта

Проверить нужно не CMS, а сам интерпретатор PHP, который обслуживает сайт:

• Исправленные версии — PHP 8.5.12, 8.4.27, 8.3.36 и 8.2.35. Версия ниже в своей ветке — уязвима.
• PHP 8.1 и более ранние версии не поддерживаются. Для 7.4, 8.0 и 8.1 команда PHP выложила только исходные патчи для самостоятельной сборки — обычному владельцу сайта проще перейти на поддерживаемую ветку.
• Обновление WordPress или плагинов не обновляет PHP. Это разные вещи, и одно не заменяет другое.
• Версию смотреть в панели хостинга, а не командой в консоли: сайт может работать на другой версии PHP, чем та, что отвечает в терминале.
• На виртуальном хостинге — написать провайдеру и попросить подтвердить, что исправленная версия уже работает именно для ваших доменов.
• Сайт за Cloudflare получил временную защиту: компания выкатила правила фильтрации для известных вариантов атаки, в том числе на бесплатном тарифе.

Исследователи из Wiz, которые опубликовали разбор механизма, отдельно отметили роль нейросетей: по их словам, современные ИИ-модели сильно снизили порог, и давнюю ошибку удалось превратить в эксплойт.

«Эти находки входят в число самых серьёзных уязвимостей, обнаруженных в PHP», — исследователи Wiz.

Британский центр кибербезопасности NCSC советует организациям, которые не могут обновиться прямо сейчас, рассмотреть временное отключение уязвимых систем. Для небольшого сайта это может значить пару часов простоя — дешевле, чем восстанавливать взломанный сервер и разбираться с утечкой данных клиентов.

Читайте также: Россияне почти не заказывают складной iPhone Duo: за 300 тысяч он приходит без слота для сим-карты и без гарантии Apple