PHP2Shell: критическая уязвимость PHP — что проверить владельцу сайта на WordPress и Битриксе

21 октября 2026 года разработчики PHP выпустили срочные обновления: в самом PHP нашли две критические уязвимости, которые позволяют взломать сайт без пароля. Атаки начались ещё до выхода исправления, а к 23 октября компании Palo Alto Networks и Trail of Bits подтвердили реальные взломы. На PHP работает около 70% сайтов в интернете — в том числе WordPress и 1С-Битрикс. Если у вас сайт, эта статья — про вас.

Разбираем простыми словами, что случилось, как понять, что ваш сайт под угрозой, и что сделать сегодня.

Что случилось

Уязвимости получили общее название PHP2Shell и номера CVE-2026-109618 и CVE-2026-109619. Обе оценены в 9,2 балла из 10 — это критический уровень. Их нашли исследователи компаний Calif и Wiz вместе с OpenAI, причём часть работы сделали с помощью ИИ: нейросеть подсказала, как обойти ограничения PHP, а ИИ-агент нашёл ошибку в коде.

Главное, что нужно знать владельцу сайта:

• Взлом без пароля. Злоумышленнику достаточно отправить на сайт специально составленный запрос — входить в админку не нужно.
• Уязвим сам PHP, а не CMS. Поэтому под угрозой WordPress, 1С-Битрикс, Drupal, Joomla, интернет-магазины на Magento, phpMyAdmin, Nextcloud и сайты на Laravel и Symfony. Исследователи показали рабочие атаки на WordPress, Drupal, Joomla, Magento, phpMyAdmin, Nextcloud и другие системы.
• Опасны стандартные настройки. Уязвимы и Apache с mod_php, и PHP-FPM — самые распространённые варианты на хостингах.
• Ошибке больше десяти лет. Уязвимый код появился ещё в PHP 5.4, поэтому рискуют и старые сайты, которые годами никто не обновлял.
• Атаки уже идут. По данным Amazon, попытки взлома начались примерно 17 октября — за несколько дней до публикации исправления. После раскрытия деталей число атак резко выросло.

Как работает атака — на пальцах

Злоумышленник отправляет на сайт запрос с загрузкой множества «пустых» файлов. PHP тратит на них всю отведённую память и обрывает обработку на полпути. В памяти остаются «полуразобранные» данные, а следующий запрос принимает их за правильные — и выполняет команды злоумышленника. Дальше он может скачать базу клиентов, подменить платёжную форму или разместить на сайте вредоносный код.

Проверьте версию PHP своего сайта и посмотрите, где обновление обрывает эту цепочку:

Чем это грозит бизнесу

• Утечка базы клиентов — а это штраф по 152-ФЗ от 3 до 15 млн ₽ за первый случай и оборотный штраф за повторный. Подробнее — в статье «152-ФЗ для сайта в 2026 году».
• Подмена платёжной формы — деньги клиентов уходят мошенникам, а претензии получаете вы.
• Сайт в чёрных списках Яндекса и Google: браузеры показывают предупреждение об опасности, трафик и заявки падают.
• Простой сайта на время расследования и восстановления.

Что сделать сегодня

1. Узнайте версию PHP. Она указана в панели хостинга. В WordPress — в разделе «Инструменты → Здоровье сайта», в Битриксе — в «Проверке системы».
2. Обновите PHP до исправленной версии: 8.5.12, 8.4.27, 8.3.36 или 8.2.35 и новее. На виртуальном хостинге обновление обычно ставит провайдер — проверьте, что оно уже стоит. На VPS и выделенном сервере обновлять нужно самим или силами подрядчика.
3. Если PHP 8.1 или старше — официальных обновлений для этих версий больше нет. Для 7.4–8.1 выпущены лишь минимальные заплатки, а часть провайдеров делает свои исправления. Планируйте перевод сайта на PHP 8.3 или новее — это защитит и от следующих уязвимостей.
4. Если обновить прямо сейчас нельзя, временно отключите в настройках PHP параметр session.upload_progress.enabled и ограничьте размер запросов на уровне веб-сервера. Это снижает риск, но не заменяет обновление.
5. Проверьте, не взломали ли сайт. Посмотрите журналы сервера начиная с 17 октября: подозрительные запросы с загрузкой файлов, новые файлы в папках сайта, незнакомые администраторы в CMS. Смените пароли от хостинга, базы данных и админки.
6. Не забудьте остальное. PHP стоит не только на сайте: в CRM, личных кабинетах, корпоративных порталах, phpMyAdmin и даже в некоторых сетевых устройствах. Проверьте и их.

23 октября разработчики PHP предупредили ещё об одной, менее опасной ошибке (CVE-2026-115560) в той же части PHP. Она срабатывает только при необычной настройке сессий и будет закрыта в следующем плановом обновлении, а до него помогает то же отключение session.upload_progress.

Главный урок

Эту уязвимость нашли с помощью ИИ — и такие находки будут случаться всё чаще, причём и у злоумышленников тоже. Сайт, который «сделали и забыли», становится главным риском. Нужен кто-то, кто следит за обновлениями и ставит их в первые дни, а не через полгода.

Если сайт давно никто не обслуживал, мы проверим версию PHP и CMS, установим обновления, поищем следы взлома и возьмём сайт на поддержку. Посмотрите, как мы делаем и обслуживаем сайты, или напишите нам — поможем сегодня.