Пострадал ли ваш веб-сайт от уязвимости PHP2Shell? 5-минутная проверка для владельцев бизнеса в ОАЭ

21 октября 2026 года проект PHP выпустил экстренные исправления для двух критических уязвимостей, получивших название PHP2Shell (CVE-2026-109618 и CVE-2026-109619, каждая из которых получила оценку 9,2 по шкале CVSS v4.0), которые позволяли злоумышленнику запускать код на веб-сервере без входа в систему, независимо от того, какую CMS или плагины использует сайт. Уязвимости затрагивают как WordPress, Drupal и Joomla, так и пользовательские приложения на PHP. В течение нескольких часов государственные веб-сервисы по всей Европе и Северной Америке, крупные платформы, включая Internet Archive и DeviantArt, а также ряд корпоративных сайтов перешли в режим технического обслуживания, чтобы исправить уязвимость до того, как злоумышленники смогут ею воспользоваться.

Масштаб этой проблемы является необычным. По данным компании Wiz, специализирующейся на вопросах безопасности, каждая версия PHP за последнее десятилетие, начиная с PHP 5.4, подвержена по крайней мере одной из двух уязвимостей. Уязвимости связаны с обработкой памяти в PHP, а не с WordPress или плагинами, поэтому одного лишь обновления WordPress или плагинов недостаточно. Администратор хостинга или сервера должен обновить сам PHP и перезапустить веб-сервер. Именно поэтому так много организаций, следуя рекомендациям CISA, британского NCSC, CERT-EU и немецкого BSI, отключили свои сайты до тех пор, пока не смогли убедиться в том, что исправление было установлено. Значительная часть бизнес-сайтов ОАЭ работает на WordPress и виртуальном хостинге с PHP, поэтому данная проблема актуальна на местном уровне, несмотря на то что официального заявления, касающегося конкретно ОАЭ, пока не было опубликовано. Если ваш сайт построен на современном стеке JavaScript, таком как Next.js (который компания The Digital Agency использует для проектов клиентов), он не использует PHP и не подвержен данной уязвимости.

Об чем сообщили разработчики проекта PHP

21 октября 2026 года в рамках проекта PHP были выпущены исправленные версии: PHP 8.5.12, 8.4.27, 8.3.36 и 8.2.35. Подробности просочились за день до этого, а уведомления о безопасности на GitHub были опубликованы примерно в 13:34 по UTC 21 октября. Срок поддержки PHP 8.1 и более старых версий истек, что означает отсутствие официальных сборок, хотя исправления исходного кода доступны для PHP 7.4, 8.0 и 8.1. Пользователям этих версий необходимо обратиться к поставщику своей операционной системы или перейти на поддерживаемый выпуск.

Обе уязвимости затрагивают PHP-серверы, обрабатывающие веб-запросы: уязвимыми являются PHP-FPM, Apache mod_php, php-cgi, FrankenPHP и LiteSpeed. Поскольку эти уязвимости позволяют удаленно выполнять код без аутентификации, злоумышленник может получить контроль над сервером без ввода каких-либо учетных данных. Исследователи из компаний Calif и Wiz обнаружили эти уязвимости в августе 2026 года с помощью моделей искусственного интеллекта, а компания Wiz сообщает, что в ходе лабораторных испытаний подтвердила возможность неавторизованного захвата контроля над последними версиями установок WordPress, Drupal и Joomla.

Сеть медовых ульев MadPot компании Amazon зафиксировала попытку взлома 17 октября 2026 года, за четыре дня до публичного раскрытия информации, что означает, что злоумышленники имели доступ к действующим эксплойтам ещё до объявления о выпуске исправления. Компания Amazon рекомендовала организациям проверить наличие подозрительной активности, начиная как минимум с 17 октября.

Как происходили атаки и какие существуют средства защиты

21 октября в 03:02 по UTC, примерно за девять часов до официального объявления, компания Cloudflare включила бесплатную защиту с помощью брандмауэра (WAF) для всех тарифных планов, включая бесплатные аккаунты. Генеральный директор Cloudflare Мэтью Принс сообщил о тысячах попыток эксплуатации уязвимости за 10 часов до публичного объявления, десятках тысяч, в течение 45 минут после него, сотнях тысяч, в течение двух часов и миллионах, к следующему дню. Злоумышленники адаптировали свои вредоносные коды, пытаясь обойти брандмауэр. Речь идет о зарегистрированных попытках, а не о подтверждённых успешных взломах. В Cloudflare подчеркнули, что правила их брандмауэра представляют собой дополнительный уровень защиты, а не замену установке исправлений.

21 октября CISA выпустило предупреждение, в котором организациям было рекомендовано незамедлительно установить исправления, начиная с систем, подключённых к Интернету. В случае невозможности установки исправлений или если на сайте использовалась версия PHP 8.1 или более ранней, CISA рекомендовало отключить системы на базе PHP до момента установки исправлений. Другие национальные агентства по кибербезопасности поддержали эти рекомендации. В результате правительственные веб-сервисы в Финляндии, Нидерландах (Overheid.nl), Франции (сайты Министерства внутренних дел), Дании (национальная школьная платформа) и Канаде были отключены или переведены в режим технического обслуживания, наряду со службами поддержки Wikimedia, Internet Archive, DeviantArt и несколькими крупными мобильными играми в Японии. Сама по себе страница с уведомлением о техническом обслуживании не означает, что сайт подвергся взлому, а лишь свидетельствует о том, что организация последовала официальным рекомендациям.

Что это означает для предприятий ОАЭ

Если ваш бизнес в ОАЭ использует сайт на базе WordPress, Drupal, Joomla или на заказной PHP-платформе, вам необходимо убедиться, что ваш хостинг-провайдер или ИТ-команда установили исправление. На виртуальном хостинге большинство компаний не могут самостоятельно обновлять PHP, поэтому это остается на усмотрение хостинг-провайдера. Даже если вы ежедневно обновляете ядро WordPress и все плагины, это не устраняет данную уязвимость, поскольку проблема заключается в PHP, а не в WordPress.

Вам также необходимо убедиться, что обновление установлено, а не просто запланировано. Хостинг-провайдер может сообщить вам, что планирует установить исправление в выходные дни, однако факты свидетельствуют о том, что злоумышленники были активны за несколько дней до обнародования информации и активизировались в течение нескольких часов после объявления. Каждый час на счету. Если ваш хостинг-провайдер не может подтвердить немедленное установление исправления или если вы используете PHP 8.1 или более раннюю версию без возможности обновления, рассмотрите возможность перевода сайта в режим технического обслуживания до завершения обновления либо перехода к провайдеру, который уже установил исправление.

Помимо установки исправлений, проверьте наличие признаков взлома, начиная с 17 октября 2026 года. Обратите внимание на неизвестных администраторов в WordPress или вашей CMS, новые или измененные файлы в корневом каталоге сайта, неожиданные перенаправления, спам-страницы, проиндексированные Google, а также процессы PHP, запускающие оболочки или загружающие инструменты. Если вы используете Cloudflare или другой межсетевой экран веб-приложений, оставьте его включенным в качестве дополнительного уровня защиты, но не полагайтесь на него в качестве замены исправления. Для компаний, рассматривающих возможность отказа от устаревших стеков PHP, наша практика веб-дизайна может помочь вам оценить современные альтернативы, которые полностью устраняют этот класс рисков.

5-минутная проверка

Позвоните или напишите по электронной почте своему хостинг-провайдеру или внутренней ИТ-службе уже сегодня и попросите их подтвердить, какая версия PHP используется на вашем веб-сайте и была ли она обновлена до одной из исправленных версий: 8.5.12, 8.4.27, 8.3.36 или 8.2.35. Попросите их подтвердить, что обновление установлено и веб-сервер перезапущен, а не просто что это запланировано на конец этой недели. Если ответ неясен, настаивайте на получении письменного подтверждения с указанием даты и времени завершения работ.

Если ваш сайт работает на PHP 8.1 или более ранней версии, вы используете неподдерживаемую версию. Официальных сборок для версий 8.1, 8.0, 7.4 и более ранних версий не существует. Некоторые поставщики операционных систем выпускают обратные портированные исправления безопасности, поэтому уточните у своего провайдера, выпущен ли патч для вашей дистрибутива ОС. Если нет, запланируйте обновление до PHP 8.2 или более поздней версии в качестве срочного проекта. Сначала протестируйте свой сайт на новой версии в тестовой среде, поскольку в PHP 8.2 были введены значительные изменения, которые могут повлиять на старый код.

Проанализируйте журналы сервера и приложений за период с 17 октября и далее. Обратите внимание на необычные запросы POST, неожиданные ошибки PHP, новые файлы в каталоге /tmp или корневом каталоге веб-сайта, изменения в основных файлах CMS, новые учетные записи администраторов или процессы, запущенные пользователем веб-сервера. Если вы обнаружите что-либо подозрительное, рассматривайте это как потенциальное нарушение безопасности и обратитесь к специалисту по компьютерной криминалистике. В качестве меры предосторожности смените все пароли администраторов и ключи API.

Наконец, если у вас ещё нет межсетевого экрана веб-приложений (WAF), установите его прямо сейчас. Cloudflare предлагает бесплатный тариф, обеспечивающий базовую защиту WAF. Оставляйте его включённым даже после установки исправлений, ведь появление следующей уязвимости, это вопрос времени, а не вероятности.

Если вам требуется помощь в проведении аудита вашего сайта, планировании перехода с устаревшей версии PHP или переходе на современную технологическую архитектуру без использования PHP, которая полностью устраняет данный риск, обратитесь к нашей команде. Мы сможем предоставить вам четкий план в течение нескольких дней, а не недель.