Версия на PHP и PHP2Shell какво да поискате от хостинга

Версията на PHP на хостинга Ви е най-важното, което да проверите тази седмица: на 21 октомври 2026 г. разработчиците публикуваха поправки за две критични уязвимости, наречени PHP2Shell, които позволяват на неоторизиран нападател да изпълни код на сървъра (PHP.net, Help Net Security). Безопасните версии са 8.5.12, 8.4.27, 8.3.36 и 8.2.35 (Qualys). Според данни на Qualys около 71% от откритите инсталации на PHP работят на клонове, които вече не получават редовни поправки.

Източник: PHP.net, Supported Versions; Help Net Security (PHP.net, Help Net Security)

Какво представлява PHP2Shell и защо е критична

PHP е езикът, на който работят WordPress и много други сайтове, а според BleepingComputer го ползват около 70% от всички сайтове (BleepingComputer). Двете грешки са с номера CVE-2026-109618 и CVE-2026-109619, а оценката им по скалата CVSS 4.0 е 9.2 от 10 (Qualys). Скалата CVSS показва колко опасна е уязвимостта.

Първата грешка е в обработката на нехватка на памет, при която заявката се почиства с недовършени данни (Help Net Security, Akamai). Втората е използване на вече освободена памет във функцията за проследяване на качването на файлове. И в двата случая заявката се обработва, преди да се стартира кодът на Вашия сайт.

Затова не е достатъчно сайтът да е „чист". Дори добре поддържан WordPress с последните добавки зависи от езика под него.

Кой е засегнат и колко е спешно

Засегната е всяка инсталация на PHP, която обслужва уеб заявки: PHP-FPM, Apache с mod_php, php-cgi, FrankenPHP и LiteSpeed (Help Net Security). Най-голям е рискът при Apache с mod_php (Qualys). Предпоставка за атаката е включената по подразбиране настройка за проследяване на качването на файлове (Akamai).

Нападателите не са чакали. Системата за наблюдение на Amazon отчете опит за експлоатация на 17 октомври, четири дни преди публичното разкриване (Help Net Security). Изследовател от Perplexity потвърди и реално изпълнение на команди на сървър с Apache и PHP 8.4.26 (BleepingComputer). Той предупреди, че наблюденията се отнасят до една конфигурация и не измерват надеждността на атаката другаде.

Към 26 октомври американската агенция CISA още не беше обявила уязвимостите за експлоатирани, но беше публикувала правило за откриване на опити (BleepingComputer). Източниците не са единодушни докъде е стигнала експлоатацията, а за ваш сайт разликата е без значение: поправката е налична.

Какви са остарелите версии на PHP и кои от тях още имат поддръжка

Официално поддържани са четири клона: 8.2, 8.3, 8.4 и 8.5 (PHP.net). Клон 8.2 получава само поправки за сигурност и тази поддръжка свършва на 31 декември 2026 г.. До този срок остават по-малко от два месеца.

Qualys е преброила 156 милиона инсталации с известна версия: 44 милиона работят на поддържаните клонове от 8.2 до 8.5, а 110 милиона на клонове от 5.4 до 8.1 (Qualys). Само 199 000 са били поправени в първите 12 часа. Това означава, че огромната част от мрежата зависи от доставчици, които сами решават кога да обновят.

За 7.4, 8.0 и 8.1 екипът по сигурност публикува минимални поправки в изходния код, предназначени за собствени компилации (Help Net Security). Хостинг клиентът не може да ги приложи сам. Някои дистрибуции пренасят поправката в пакети със стара версия, затова номерът на PHP не е достатъчно доказателство и доставчикът трябва да потвърди изрично коя е поправката (Qualys).

Как да проверите версията на PHP на Вашия сайт

Първо направете пълно резервно копие на файловете и базата данни. После отворете контролния панел на хостинга и потърсете раздел за версията на PHP, който обикновено се казва „PHP Selector" или „Select PHP Version". Там се вижда избраната версия и можете да я смените.

Ако панелът няма такава опция, във WordPress отворете „Инструменти" › „Състояние на сайта" › „Информация" и разгънете секцията „Сървър". Там е изписана версията на PHP. Основите на платформата са описани в основите на WordPress.

След смяната на версията заредете началната страница, страница с форма и административния панел. Ако някоя добавка спре, върнете предишната версия и пишете на разработчика ѝ, но не оставяйте сайта на клон без поддръжка.

Какво да поискате от хостинг доставчика

Задайте три конкретни въпроса на поддръжката: коя точно версия на PHP работи за акаунта Ви, прилагат ли поправките от 21 октомври и ще има ли автоматично обновяване на малките версии. Попитайте и дали работят с Apache и mod_php, защото именно тази схема е най-рискова (Help Net Security, Qualys).

Ако доставчикът отговори, че предлага само клон, който вече не е сред поддържаните (PHP.net), това е основание да потърсите друг. Как се различават типовете услуги, прочетете във видовете хостинг, а как се мести сайт без прекъсване, в статията за прехвърляне на сайт.

Наш извод от числата: на споделен хостинг не можете да поправите PHP сами, затова изборът на доставчик, който държи версията актуална, е част от сигурността на сайта Ви.

Какво помага временно, ако поправка още няма

Сред временните мерки PHP препоръчва настройката session.upload_progress.enabled=0 (BleepingComputer, Qualys). В бюлетина си проектът уточнява, че тези мерки не правят системата безопасна и единственият сигурен избор е обновяването (PHP.net). На споделен хостинг тази настройка се променя през панела или файла .user.ini, ако доставчикът го позволява.

Британският център NCSC съветва да се изключи система, която не може да бъде поправена веднага (Help Net Security). За малък сайт това може да значи страница със съобщение за профилактика за няколко часа. Това е по-малка загуба от изтекла база с клиенти, а при такъв инцидент важат правилата от GDPR за собствениците на сайтове.

Проверете още днес php.net за последните съобщения и сравнете версията в панела с таблицата по-горе. Отворете и страницата с поддържаните версии на PHP, за да видите кога изтича поддръжката на Вашия клон (PHP.net).

Въпроси и отговори

Достатъчно ли е да обновя WordPress? Не. Обновяването на WordPress не променя езика, на който работи. Версията на PHP се сменя на ниво хостинг (PHP.net, Qualys).

Достатъчна ли е версия 8.2? Само ако е 8.2.35 или по-нова и само до края на 2026 г., когато поддръжката на клона свършва (PHP.net, Help Net Security).