Вторник, 21 октября, 14:00 UTC · иллюстрация
Команда безопасности PHP выпускает экстренное обновление. В Нидерландах государственные сайты на всякий случай на несколько часов отключают от сети. В США CISA, федеральное агентство по кибербезопасности, требует обновиться немедленно. Владелица клиники заканчивает рабочий день и ничего об этом не слышала. Её сайт работает на PHP 8.1.
В 17:20 ей приходит сообщение: «Вышла критическая уязвимость в программе, на которой работает ваш сайт. Ваша версия уже не получает обычных обновлений. Резервная копия готова, переход на исправленную версию я проверил на копии сайта. Обновить сегодня ночью?»
21 октября 2026 года стало известно о серьёзной уязвимости, которая касается каждого сайта на WordPress в мире. Она не в самом WordPress, а в PHP — программе, на которой работает любой сайт на WordPress. В день раскрытия уязвимой была почти любая версия PHP начиная с 5.4, в том числе все версии, которые поддерживает WordPress. Уязвимость получила название PHP2Shell и позволяет злоумышленнику запускать код на сервере сайта без логина и пароля. Рассказываем, что произошло, как проверить, уязвим ли ещё ваш сайт, и что сделал бы ИИ-агент, подключённый к сайту, ещё до того, как вы узнали о проблеме.
Коротко
- Что произошло: две уязвимости в самом PHP (CVE-2026-109618 и CVE-2026-109619) с оценкой опасности 9,2 из 10. Злоумышленник может захватить сервер, не входя в систему.
- Кто под угрозой: любой сайт на необновлённой версии PHP, в том числе на WordPress, Joomla и WooCommerce. Обновление WordPress или плагинов уязвимость не закрывает.
- Что делать: проверить версию PHP. Исправленные версии — 8.5.12, 8.4.27, 8.3.36 и 8.2.35. Версия 8.1 и более старые уже не получают обычных обновлений, с них нужно переходить на новую версию.
- Вывод: между публикацией уязвимости и первыми попытками взлома проходят часы. ИИ-агент, подключённый к сайту, успевает за это время всё проверить, сделать резервную копию и обновить, даже если владелец бизнеса не знает, что такое PHP.
Что такое PHP2Shell простыми словами
Представьте, что ваш сайт — это автомобиль. WordPress, тема и плагины — это кузов, приборная панель и сиденья: то, что видно. PHP — двигатель под капотом. Каждый раз, когда кто-то заходит на сайт, PHP выполняет код и собирает для него страницу.
PHP2Shell — поломка в самом двигателе. Злоумышленник отправляет сайту один специально составленный запрос, и после него память PHP остаётся в сломанном состоянии. Из этого состояния можно запустить код на сервере. Как сказано в бюллетене PHP, в установках типа mod_php атака может сработать ещё до того, как запустится код сайта. Значит, неважно, насколько свежий у вас WordPress и какой плагин безопасности вы поставили: двигатель взламывают раньше, чем они начинают работать.
А что злоумышленник делает с сервером, который оказался у него в руках? Внедряет на сайт вредоносный код, крадёт данные клиентов, рассылает с сервера спам или просто выводит его из строя. По данным The Hacker News, уязвимость позволяет ещё и читать память сервера, а там могут оказаться пароли, ключи API и платёжные данные из чужих запросов. Даже без захвата сервера.
Источники: W3Techs (23.10.2026), бюллетень безопасности PHP (CVSS v4.0), Help Net Security о данных Amazon Threat Intelligence.
Почему на этот раз всё серьёзнее обычного
Уязвимости находят каждую неделю. Чаще всего они сидят в конкретном плагине или теме и задевают только тех, кто ими пользуется. У PHP2Shell четыре отличия:
- Она в фундаменте, а не в плагине. По данным PHP, затронута любая установка, которая обслуживает сайты: PHP-FPM, Apache, LiteSpeed и другие. Проблемный код пролежал в PHP больше десяти лет.
- Пароль не нужен. Не нужны ни учётная запись на сайте, ни определённая форма, ни уязвимый плагин. Хватает запроса снаружи.
- Злоумышленники опередили исправление. Amazon зафиксировала попытку эксплуатации 17 октября, за четыре дня до публикации. Подробности утекли раньше срока, и PHP выпустила исправление на день раньше. А в сам день публикации компания watchTowr сообщила об активных попытках эксплуатации уже через несколько часов.
- ИИ сократил путь ко взлому. По данным The Hacker News, исследователи, которые нашли уязвимости (Wiz, Calif и команда Codex Security из OpenAI), рассказали, что модели ИИ помогли им превратить баг в работающую атаку. Один исследователь за неделю сделал работу, на которую у команды ушли бы месяцы. Злоумышленники пользуются теми же инструментами.
И есть ещё одна проблема, менее заметная. Даже когда исправление вышло, многие сайты его не получат:
Сайты на PHP по основной версии
Источник: W3Techs, 23.10.2026. Для версий 7 и 5 официального исправления нет. PHP опубликовала минимальные исправления в исходном коде для 7.4, 8.0 и 8.1 — они рассчитаны на тех, кто собирает PHP сам. И даже внутри PHP 8 обычные обновления получают только 8.2 и новее.
Примерно треть сайтов на PHP работает на версии 7 или 5. Большинство их владельцев об этом не знает. Сайт сделали пять или восемь лет назад, он работает, и с тех пор двигатель никто не трогал.
Я же обновил WordPress. Разве этого мало?
Мало. Это самая частая ошибка, которую мы увидим в ближайшие дни, и The Hacker News прямо на неё указывает: обновление приложения вроде WordPress не обновляет PHP. PHP ставит хостинг-провайдер, сам сервер или его установочный образ.
Обновление WordPress и плагинов
Делается в панели управления сайтом, в один клик.
- Закрывает уязвимости в плагинах и теме
- Не меняет версию PHP
- Не защищает от PHP2Shell
Обновление PHP
Делается на сервере или в панели хостинга.
- Закрывает PHP2Shell
- Переход между основными версиями (например, с 7.4 на 8.3) может сломать старые плагины
- Перед ним нужны резервная копия и проверка
Хорошая новость: часть хостинг-провайдеров уже всё сделала. SiteGround, например, написала, что её клиенты защищены и делать им ничего не нужно. Но так не у всех, и уж точно не на собственном сервере или VPS, который кто-то настроил вам несколько лет назад и забыл.
Как проверить, грозит ли вашему сайту уязвимость PHP
Пройдитесь по списку. Это займёт минут пятнадцать, и программировать для этого не нужно.
Проверка сайта на PHP2Shell
Если отметили всё, с сайтом всё в порядке. Если застряли уже на первом пункте, то продолжение статьи мы писали как раз для вас.
Как ИИ-агент справился бы с PHP2Shell, а вам даже не пришлось бы знать, что такое PHP
Большинство владельцев бизнеса не читают предупреждения CISA. Они не знают, какая версия PHP у них стоит, и не обязаны знать. Владелица клиники должна заниматься пациентами, а не двигателем сайта.
ИИ-агент, подключённый к сайту, серверу и аккаунту хостинга, работает иначе. Он уже знает, что у вас установлено, поэтому, когда выходит уязвимость, ему не нужно разбираться с нуля. Вот как это выглядит в день публикации. Пример условный:
17:05 · уязвимость опубликована
Вижу критический бюллетень безопасности PHP. Проверил ваш сервер:
- Сайт работает на PHP 8.1, которая уже не получает обычных обновлений
- Последняя резервная копия — со вчерашней ночи. Я только что сделал ещё одну и проверил, что она открывается
- Убедился, что временные правила защиты Cloudflare на сайте включены
17:20 · проверка на копии
Скопировал сайт в тестовую среду и перевёл её на PHP 8.4.27. Главная страница, форма обратной связи и система записи работают. Один старый плагин выдал предупреждение, но у него есть новая совместимая версия.
✓ Резервная копия готова · ✓ Проверено на копии · Жду вашего подтверждения
Я не всё поняла, но раз ты проверил — обновляй.
23:00 · на сайте затишье
Обновил плагин и перевёл рабочий сайт на PHP 8.4.27. Сайт всё это время был доступен.
✓ PHP обновлён · ✓ Проверено 6 ключевых страниц · ✓ Заявка с формы пришла на почту
23:40 · финальная проверка
Просмотрел журналы сервера начиная с 17 октября. Признаков попыток эксплуатации не нашёл. Всё, что было сделано, записал в журнал сайта. Завтра утром ещё раз проверю, что всё стабильно.
Иллюстрация. В реальном разговоре агент подбирает проверки под ваш сайт и действует только в рамках разрешений, которые вы задали.
Обратите внимание, что за всю эту историю сделала владелица бизнеса: прочитала два сообщения и ответила одной фразой. Она не разбиралась, что такое PHP, не искала инструкции и не ждала, пока специалист освободится на следующей неделе.
Что агент делает сам, а что ждёт подтверждения
Это настраивается заранее, один раз. Для обновлений PHP мы рекомендуем такую схему:
Обновление безопасности PHP с ИИ-агентом
- Замечает и проверяетСледит за бюллетенями безопасности и проверяет, уязвима ли ваша версия. Сам, в любой момент.
- Делает копию и тестируетПолная резервная копия, затем обновление в тестовой среде. Сам.
- Ваше подтверждениеПри переходе между основными версиями. Исправление безопасности в пределах той же версии можно одобрить заранее.
- Обновляет и отчитываетсяОбновление на рабочем сайте, повторная проверка и запись в журнал. Если что-то сломается, сайт восстанавливают из резервной копии.
Иначе говоря, если ваш сайт работает на PHP 8.3.30 и вы заранее разрешили исправления безопасности в пределах той же версии, агент обновил бы его до 8.3.36, ничего не спрашивая. Вы получили бы одно сообщение уже после: «Вышла критическая уязвимость, сайт обновлён, всё проверено». Это и есть тот случай, когда сайт защищён раньше, чем владелец бизнеса вообще услышал слово PHP.
Где агента недостаточно
- На виртуальном хостинге без доступа к серверу агент не может сам обновить PHP. Он может проверить версию, сменить её в панели, если у него есть туда доступ, и написать хостинг-провайдеру с точным вопросом. И это всё равно намного больше, чем сегодня происходит в большинстве компаний.
- Очень старому сайту на PHP 5 с кодом, написанным на заказ, иногда нужна частичная переработка. Агент это заметит и составит список того, что сломается, но это работа на несколько дней, а не на одну ночь.
- Агент не заменяет хороший хостинг. Хостинг-провайдер, который сам ставит исправления, — первая линия защиты. Агент — тот, кто проверяет, что это действительно произошло.
Наше мнение: каждому бизнесу с сайтом понадобится агент, который за этим следит
PHP2Shell не станет последней уязвимостью. Изменился темп.
Сама уязвимость пролежала в коде больше десяти лет. Путь от бага до работающей атаки сократил ИИ. С одной стороны, исследователи, которые её нашли, работали с моделями. С другой — попытки эксплуатации появились ещё до официальной публикации. Когда атаку собирают за неделю, а распространяют за часы, владелец бизнеса, который узнаёт об уязвимости из новостей через две недели, уже опоздал.
До сих пор решением был «кто-то, кто присматривает за сайтом»: фрилансер, веб-студия или родственник, который разбирается в компьютерах. Это работало, когда на реакцию были недели. Это не работает, когда реагировать нужно вечером во вторник, когда все уже дома.
Мы думаем, что в ближайшие годы ИИ-агент, подключённый к бизнесу, станет базовой вещью, как бухгалтерия. Не потому, что ИИ в моде, а потому, что злоумышленники уже работают с ИИ, и защита должна поспевать за ними. Такой агент занимается не только PHP. Он подключён к сайту, к Google, к рекламным кампаниям и контенту и замечает проблему в любом из них. Вопрос не в том, понадобится ли он бизнесу, а в том, сколько уязвимостей пройдёт, прежде чем владельцы это поймут.
Частые вопросы
Что такое PHP2Shell?
PHP2Shell — общее название двух критических уязвимостей в PHP, CVE-2026-109618 и CVE-2026-109619, исправленных 21 октября 2026 года. Они позволяют злоумышленнику запускать код на сервере сайта без входа в систему и получили оценку опасности 9,2 из 10. Исправление вошло в версии 8.5.12, 8.4.27, 8.3.36 и 8.2.35.
Уязвим ли мой сайт на WordPress из-за бреши в PHP?
Да, если сайт работает на версии PHP, которая не получила исправление. Сам WordPress не уязвим, но он работает на PHP, а атака может сработать раньше, чем запустится код WordPress. Версию смотрят в разделе Инструменты → Здоровье сайта → Информация → Сервер, а у хостинг-провайдера спрашивают, исправлен ли сервер.
Как обновить версию PHP?
На виртуальном хостинге версию PHP обычно можно выбрать в панели управления. На собственном сервере пакет PHP обновляют через менеджер пакетов. Перед любым изменением делают полную резервную копию. Переход между основными версиями, например с 7.4 на 8.3, может сломать старые плагины, поэтому сначала лучше проверить его на копии сайта.
Что делать, если обновиться сразу не получается?
По данным PHP, полноценной замены обновлению нет. Есть настройки, которые снижают риск, а файрволы вроде Cloudflare добавили временные правила защиты. CISA рекомендует отключать от сети системы, которые нельзя обновить немедленно. Для сайта небольшого бизнеса практичный шаг — попросить хостинг-провайдера перевести вас на исправленную версию сегодня же.
Может ли ИИ-агент обновить PHP сам?
Да, если он подключён к серверу или панели хостинга и получил на это разрешение. Правильная настройка такая: он сам замечает проблему, делает резервную копию и проверяет обновление, сам ставит исправления безопасности в пределах той же версии, если вы заранее это разрешили, и спрашивает вас перед переходом между основными версиями. Каждое действие записывается в журнал, и всегда есть резервная копия, к которой можно вернуться.
Не создаёт ли ИИ-агент новый риск для безопасности?
Агент с доступом к серверу — это ещё один участник с ключами, поэтому ему дают минимальные права, отдельную учётную запись и собственный ключ, а не общий пароль. Сравнивать нужно не агента с нулевым риском, а агента с сервером, который никто не проверяет. Сайт со старым PHP, к которому никто не прикасается, — риск куда больший.
Источники
- https://www.php.net/
- https://www.cisa.gov/news-events/alerts/2026/10/21/critical-vulnerabilities-php-require-immediate-patching
- https://thehackernews.com/2026/10/php-issues-emergency-patches-for-two.html
- https://www.helpnetsecurity.com/2026/10/21/php2shell-php-vulnerabilities-patched-cve-2026-109618-cve-2026-109619/
- https://bleepingcomputer.com/news/security/php-ships-emergency-patches-for-critical-php2shell-flaws
- https://www.siteground.com/blog/critical-php-vulnerabilities-october-2026
- https://w3techs.com/technologies/details/pl-php
