В октябре 2026 года специалисты по информационной безопасности обнаружили две критические уязвимости в PHP — языке программирования, на котором работает огромное количество сайтов по всему миру. Проблемы получили идентификаторы CVE-2026-109618 и CVE-2026-109619, а также общее название PHP2Shell. Уровень опасности оценивается в 9,2 балла из 10 по шкале CVSS v4.0.

Первые сведения об уязвимостях появились в начале октября, а 21 октября были опубликованы технические подробности и выпущены исправления. На тот момент многие государственные сайты в Европе отключили. Особенность происшествия заключается в том, что ошибки затрагивают непосредственно PHP, а не отдельные сайты или системы управления (CMS).  Это делает угрозу особенно серьёзной, поскольку PHP используется в WordPress, Joomla, Drupal и других популярных движках. Потенциально под угрозой оказалось огромное количество интернет-ресурсов независимо от качества их разработки.

В чём заключается опасность PHP2Shell

Обе уязвимости связаны с некорректной обработкой оперативной памяти при выполнении PHP-кода. Первая ошибка, CVE-2026-109618, возникает при определённых условиях нехватки памяти, а вторая, CVE-2026-109619, связана с повторным использованием уже освобождённых участков памяти. При успешной эксплуатации злоумышленник потенциально может добиться удалённого выполнения произвольного кода на сервере без предварительной авторизации. Это означает, что для атаки необязательно знать пароль администратора или иметь доступ к панели управления сайтом.

Последствия могут быть серьёзными: получение доступа к конфиденциальным данным, изменение содержимого сайта, внедрение вредоносных скриптов и использование сервера для дальнейших атак.

Особенно важно, что наличие актуальной версии WordPress или другой CMS само по себе не гарантирует защиту. Уязвимость находится на уровне PHP, который отвечает за обработку серверных запросов. Степень риска при этом зависит от конкретной конфигурации сервера.

Какие меры принимают хостинг-компании

После обнаружения проблем разработчики PHP подготовили экстренные обновления безопасности. 21 октября были выпущены исправленные версии PHP 8.2.35, 8.3.36, 8.4.27 и 8.5.12.

К устранению угрозы подключились хостинг-провайдеры и компании, занимающиеся защитой интернет-ресурсов. В частности, Cloudflare внедрила дополнительные правила фильтрации подозрительных запросов, позволяющие блокировать часть попыток эксплуатации уязвимостей ещё до обращения к серверу.

Хостинг-компании начали распространять обновлённые пакеты PHP. Однако скорость установки исправлений зависит от провайдера и используемой конфигурации. На виртуальном хостинге обновления обычно выполняет обслуживающая компания, тогда как владельцам VPS и выделенных серверов нередко приходится заниматься этим самостоятельно.

Дополнительные сложности возникают с устаревшими версиями PHP, которые больше не получают официальных обновлений. В подобных случаях может потребоваться переход на современную версию программного обеспечения.

Что необходимо сделать владельцам сайтов

Основная рекомендация специалистов — проверить используемую версию PHP и убедиться в наличии необходимых исправлений. При этом важно учитывать, что некоторые хостинг-провайдеры могут устанавливать обновления безопасности в собственные сборки PHP без изменения основного номера версии.

Владельцам сайтов рекомендуется:

• Проверить версию PHP и наличие обновлений безопасности.

• Уточнить у хостинг-провайдера, устранены ли уязвимости PHP2Shell.

• Создать резервную копию сайта перед обновлением серверного программного обеспечения.

• Проверить совместимость CMS и установленных модулей с новой версией PHP.

• Проанализировать журналы сервера на предмет подозрительной активности.

Для сайтов на Wordpress текущую версию PHP можно посмотреть в административной панели через раздел «Инструменты» — «Здоровье сайта» — «Информация» — «Сервер».

Важно понимать, что обновление самой CMS или её плагинов не устраняет PHP2Shell. Исправления должны быть установлены непосредственно на сервере.

Почему происшествие имеет большое значение

Ситуация с PHP2Shell показывает, насколько серьёзными могут быть последствия обнаружения ошибок в базовых компонентах веб-инфраструктуры. В отличие от уязвимостей отдельных плагинов или шаблонов, проблемы PHP способны затронуть множество сайтов, использующих совершенно разные системы управления.

По состоянию на 22 октября 2026 года исправления уже доступны, однако их установка на серверах продолжается. Поэтому владельцам сайтов рекомендуется не откладывать обновление программного обеспечения и дополнительно проверить безопасность своих ресурсов.

Происшествие ещё раз напоминает, что защита сайта зависит не только от CMS и качества разработки, но и от состояния серверной инфраструктуры, своевременного обновления PHP и регулярного технического обслуживания.