Краткое содержание: 21 октября 2026 года разработчики PHP выпустили срочные обновления из-за двух критических уязвимостей. Через них сайт можно взломать без логина и пароля. На PHP работают сайты на 1С-Битрикс, WordPress, Joomla и многих других системах. Сегодня узнайте у хостера или подрядчика, какая версия PHP стоит на вашем сайте и установлены ли исправления. Для PHP 8.1 и старше обычного обновления нет.
Что известно на 22 октября
Уязвимости получили номера CVE-2026-109618 и CVE-2026-109619, в отрасли их называют PHP2Shell. Обе оценены в 9,2 балла из 10 по шкале CVSS. Они позволяют выполнить на сервере чужой код одним запросом к сайту, без входа в админку. Описание уязвимостей утекло в сеть 20 октября, поэтому команда PHP выпустила исправления 21 октября, раньше плановой публикации.
Исправленные версии: 8.5.12, 8.4.27, 8.3.36 и 8.2.35. Для PHP 8.1, 8.0 и 7.4 обычных обновлений нет: команда PHP опубликовала только исправления исходного кода для тех, кто собирает PHP сам. Эти версии больше не поддерживаются: 8.1 – с конца 2025 года, 8.0 и 7.4 – ещё раньше.
Технические детали и демонстрации атак на WordPress, Drupal и Joomla уже опубликованы. CERT-EU, служба кибербезопасности учреждений Евросоюза, рекомендует обновляться немедленно, а сайты, которые нельзя обновить сразу, закрыть от интернета до установки исправлений.
Касается ли это вашего сайта
Да, если сайт работает на PHP. Это сайты на 1С-Битрикс, WordPress, Joomla, Drupal, OpenCart и многие самописные. Уязвимость находится в самом PHP, поэтому система управления сайтом значения не имеет.
Если сайт собран на конструкторе вроде Tilda или Wix, сервер обслуживает сама платформа, и обновление – её задача.
Что сделать: если вы не знаете, на чём сделан сайт и где он стоит, это первый вопрос к тому, кто его обслуживает.
Кто должен обновить PHP
Это зависит от того, где стоит сайт.
- Обычный хостинг. PHP на сервере обновляет хостер. Но версию PHP для конкретного сайта часто выбирает владелец в панели управления. Если там выбрана старая версия, например 7.4 или 8.1, сайт останется уязвимым, даже когда хостер всё обновит.
- VPS или выделенный сервер. PHP обновляет тот, кто администрирует сервер: ваш айтишник, подрядчик или хостер, если администрирование заказано у него.
- Сервер в офисе. Обновляет ваш администратор.
Кому звонить, когда с сайтом проблемы, мы разбирали отдельно: Сайт не работает: хостер, разработчик или ИТ – кому звонить.
Старый сайт на PHP 7.4 или 8.1
Это самая сложная ситуация. Сайты, сделанные несколько лет назад, нередко работают на старых версиях PHP, потому что движок или модули не запускаются на новых. Обычного обновления для них нет.
Варианты такие: исправленная сборка PHP от поставщика (хостера или дистрибутива Linux), перевод сайта на поддерживаемую версию или временное закрытие сайта, пока его не переведут. Перевод на новую версию PHP часто требует обновить движок и модули, поэтому за один вечер его делают не всегда.
Как обновляют старые сайты по частям, без переделки с нуля, мы разбирали в статье Сайту 8 лет и его страшно трогать.
Что сделать: спросите подрядчика, сколько займёт перевод сайта на поддерживаемую версию PHP и что будет с сайтом до этого.
Чего лучше не делать
- Ждать, пока хостер сам всё сделает, не проверив версию PHP для своего сайта.
- Считать, что у небольшой компании на сайте нечего красть. Взломанный сайт используют для рассылки спама, размещения вредоносных страниц и атак на посетителей.
- Менять настройки сервера по советам из чатов. Временные меры из бюллетеней снижают риск, но не закрывают уязвимость, а ошибка в настройках может уронить сайт.
- Удалять подозрительные файлы самостоятельно. Сначала специалист сохраняет журналы сервера: по ним видно, что произошло и как злоумышленник попал на сайт.
Как понять, что сайт уже взломали
Подтверждённых признаков именно этой атаки на 22 октября не опубликовано. Общие признаки взлома сайта: посетителей перебрасывает на чужие страницы, в поиске появились страницы, которых вы не создавали, хостер прислал письмо о вредоносной активности или рассылке спама, в админке появились незнакомые пользователи.
Если что-то из этого есть, одного обновления PHP мало. Нужна проверка сайта и сервера. Почему после поверхностной чистки сайт заражается снова, мы объясняли в статье Почему «полечили и снова заразилось».
Что написать хостеру или подрядчику
Ниже два готовых письма. Скопируйте нужное, впишите адрес сайта и отправьте сегодня.
Дать специалисту: готовые запросы
Скопируйте, впишите адрес сайта и отправьте хостеру или тому, кто обслуживает сайт.
Что сделать, чтобы в следующий раз было проще
Запишите, где стоит сайт, кто администрирует сервер и какая версия PHP на нём работает. Договоритесь с подрядчиком, кто и в какой срок ставит срочные обновления безопасности. Следите за датой окончания поддержки вашей версии PHP: после неё исправлений больше не будет.
Что входит в обслуживание сайта, мы описывали в статье Обслуживание сайта компании: что входит и как проверить результат. Для сайтов на Битриксе: Обслуживание сайта на 1С-Битрикс: что входит.
Когда звать подрядчика
Если вы не знаете, какая версия PHP на сайте, сайт работает на старой версии или есть признаки взлома, обратитесь к нам. Проверим сайт и сервер, обновим PHP или поможем перевести сайт на поддерживаемую версию. Если сайт уже взломан, вылечим его. Стоимость зависит от того, где стоит сайт и в каком он состоянии, назовём её после проверки.