Сигурност на PHP след PHP2Shell — какво да поискате от хостинга

Сигурност на PHP стана въпрос за всеки собственик на сайт на 21 октомври 2026 г., когато проектът PHP закърпи две критични уязвимости, наричани общо PHP2Shell (BleepingComputer, Pentest-Tools.com). И двете са оценени с 9,2 по CVSS 4.0 и позволяват на неупълномощен нападател да изпълни код на сървъра (Fortinet). Засегнат е самият PHP, не WordPress или някой плъгин, така че на споделен хостинг поправката е в ръцете на доставчика, а не на Вас (Recorded Future).

Тук няма какво да инсталирате сами. Може обаче да попитате хостинга и да проверите отговора му.

Какво представляват уязвимостите PHP2Shell

Първата, CVE-2026-109618, е грешка в обработката на недостиг на памет, при която почистващ код работи върху частично подготвени данни от заявката (Fortinet). Втората, CVE-2026-109619, е остатъчно състояние в паметта: работен процес на PHP достига памет, освободена след предишна заявка.

Втората се достига през обработчика за напредъка на качване на файлове в сесия, който е включен по подразбиране (Pentest-Tools.com). Успешната атака изпълнява код с правата на потребителя, под който работи PHP.

Оценката 9,2 не е единствената в обращение. NVD дава 9,8 по по-старата скала CVSS 3.1, затова не се учудвайте на различни числа в различни статии (Pentest-Tools.com).

Кои версии на PHP са закърпени

Поправките са в 8.2.35, 8.3.36, 8.4.27 и 8.5.12 (Fortinet). Всичко по-старо в тези клонове е уязвимо, както и всички клонове, които вече не се поддържат, включително 8.1 и по-ниските (Pentest-Tools.com).

Източник: PHP.net, Fortinet (PHP.net, Fortinet)

Клон 8.2 губи поддръжката за сигурност след по-малко от два месеца (PHP.net). Ако Вашият хостинг още го предлага, следващата подобна дупка вече няма да има официална поправка.

Версия 8.1 и по-стари нямат стандартни издания за сигурност. Проектът е пуснал само минимални поправки в изходния код за 7.4, 8.0 и 8.1, а някои дистрибуции и доставчици с дългосрочна поддръжка раздават пакети с пренесени поправки (Pentest-Tools.com). Затова номерът на версията сам по себе си не е достатъчен, а доставчикът трябва да потвърди кой пакет работи.

Колко от PHP сървърите остават на стари версии

Според VirusTotal около 5,1 милиона адреса в интернет използват PHP, а около 1,1 милиона от тях издават версията си (Recorded Future). От тези около 758 000 са на клонове, достигнали края на живота си, срещу около 272 000 на поддържани. По наше изчисление по данни на Recorded Future неподдържаните са около 2,8 пъти повече от поддържаните.

Modat стига до сходна картина: около 79% от услугите с четима версия работят на неподдържани клонове, а само PHP 7.4 е на 878 761 услуги (Recorded Future). За Вас изводът е практичен. Евтин хостинг с вечно замразена версия на PHP е по-вероятно да е в тази група, а не в закърпената.

Колко бързо започнаха атаките

Опити за експлоатация са засечени четири дни преди пускането на поправките (BleepingComputer). Amazon е видял атаки срещу свои капани на 17 октомври (Pentest-Tools.com), а Patchstack е получил сигнали от хостинг партньори още сутринта на 21 октомври, преди планираното издание (Recorded Future).

Подробности и пробен код изтекоха преди пачовете, но екипът на PHP твърди, че нито един от публичните примери не е работел (BleepingComputer). Cloudflare, Amazon и още няколко компании отчитат масови опити, всички неуспешни към момента на отчета.

На 26 октомври CISA добави двете уязвимости в каталога на известните експлоатирани уязвимости (BleepingComputer). Капани са записали и успешно изпълнение на код срещу Apache с mod_php на PHP 8.4.26. Размерът на реалните компрометирани сайтове не е установен (Recorded Future).

Защо споделеният хостинг е по-уязвим

Най-рисков е режимът mod_php на Apache, защото атаката може да мине преди да се изпълни кодът на сайта и входът в приложението не пречи (Fortinet). Засегнати са и PHP-FPM, php-cgi, FrankenPHP и LiteSpeed.

Няколкото сайта на един сървър делят един и същ PHP. Поправката се прави на едно място от доставчика, но и пропускът е общ: докато той не обнови и не рестартира работните процеси, всички сайтове на машината остават уязвими (Fortinet). Обновяването на WordPress или на плъгин не помага, защото проблемът е в средата, не в приложението. За по-общия избор между споделен хостинг, VPS и собствен сървър вижте видовете хостинг.

Какво да поискате от хостинг доставчика

Пишете в заявка към поддръжката, за да остане следа. Поискайте отговор на следното:

• Коя версия на PHP работи за Вашия сайт и от коя дата.
• Дали е инсталирана поправена версия за клона Ви или пакет с пренесена поправка, чийто номер на версия може да не се е променил (Fortinet).
• Дали работните процеси са рестартирани след обновяването (Pentest-Tools.com).
• Дали настройката session.upload_progress.enabled е изключена, докато няма поправка за третата, отделна уязвимост CVE-2026-115560.
• Дали са прегледани журналите от 20 октомври нататък за странни заявки и неочаквано изпълнени команди (Recorded Future).

Сами проверете и каква версия показва панелът Ви. Ако имате достъп до командния ред, php -v показва версията, а за уеб средата проверете и php-fpm -v (Pentest-Tools.com). Ако доставчикът мълчи или все още предлага само клон 8.1 и по-стар, помислете за преместване. Стъпките за това са в нашето ръководство за WordPress.

Какво да направите, ако подозирате заразяване

Новата версия не изгонва нападател, който вече е влязъл (Fortinet). Знаците са неочаквано променени файлове, необясними процеси и необичайни изходящи връзки. Ако ги видите, сменете паролите и ключовете, до които може да е стигнал нападателят (Recorded Future).

Преди каквото и да е чистене направете пълно резервно копие на файловете и базата и го пазете извън хостинга. Ако в сайта има лични данни на клиенти, прегледайте и задълженията по GDPR.