<?php Независимая проверка безопасности PHP
Затрагивает ли PHP2Shell Ваш PHP?
Две критические уязвимости в самом PHP позволяют удалённо выполнить код. Они были исправлены 21 октября 2026 года. Проверьте, что сайт сообщает о своей версии PHP, или вставьте строку версии — и узнайте, что именно нужно сделать.
- Пассивно: один обычный запрос, без эксплойтов
- Бесплатно, без регистрации и рекламы
- На основе php.net и официальных бюллетеней
2Проверить версию
Проверка выполняется в Вашем браузере — нам ничего не отправляется. Одна версия на строку, не более 20.
01 · php.net · 2026-10-23
Исправленные версии
| Ветка | Исправлено в | Статус ветки |
|---|---|---|
| PHP 8.5 | 8.5.12 | Активная поддержка |
| PHP 8.4 | 8.4.27 | Активная поддержка |
| PHP 8.3 | 8.3.36 | Только исправления безопасности |
| PHP 8.2 | 8.2.35 | Только исправления безопасности — поддержка заканчивается 31 дек. 2026 |
| PHP 8.1 · 8.0 · 7.x · 5.x | Официального выпуска нет | Поддержка прекращена — проект PHP не выпускает обновлений |
Источник: бюллетень безопасности php.net от 21 октября 2026 года. Последняя проверка: 2026-10-23.
Что такое PHP2Shell?
PHP2Shell — название, которое исследователи дали двум уязвимостям в движке PHP: CVE-2026-109618 (повреждение памяти, когда PHP исчерпывает память при разборе запроса) и CVE-2026-109619 (внутреннее состояние, сохраняющееся между запросами в одном рабочем процессе). Обе оценены в 9.2 по CVSS v4.0.
Атакующий без аутентификации может выполнить код на сервере или прочитать память процесса PHP — включая пароли, токены сессий, ключи API и сертификаты, относящиеся к другим запросам, — вообще не выполняя никакого кода. По данным php.net, они затрагивают PHP, обслуживающий веб-запросы: PHP-FPM, Apache с mod_php, php-cgi, FrankenPHP и LiteSpeed. Исследователи продемонстрировали атаки на WordPress, Drupal и Joomla, но конкретное приложение не требуется: даже простая страница «Hello World» на уязвимом PHP подвержена риску.
Что делать сейчас
- Обновите PHP до 8.5.12, 8.4.27, 8.3.36 или 8.2.35 — либо установите исправленный пакет Вашего дистрибутива.
- Перезапустите все процессы PHP: PHP-FPM, Apache, обработчики очередей, контейнеры. До этого обновление не действует.
- Проверьте каждый PHP на сервере — панели управления часто устанавливают несколько версий параллельно.
02 · shell
Проверка на самом сервере
Проверка сайта видит только то, что сервер решает сообщить. На сервере точный ответ дадут следующие команды:
# версия PHP по умолчанию
php -v
# другие версии PHP, установленные панелями или пакетами
ls -d /usr/bin/php* /usr/sbin/php-fpm* /opt/alt/php*/usr/bin/php /opt/cpanel/ea-php*/root/usr/bin/php /opt/plesk/php/*/bin/php 2>/dev/null
# настройки, связанные с частичными мерами защиты
php -i | grep -E 'session.upload_progress.enabled|post_max_size|memory_limit|fatal_error_backtraces'
# что Ваш сайт сообщает посетителям
curl -sI https://your-site.com/ | grep -i -E '^(x-powered-by|server):'03 · FAQ
Частые вопросы
Какие версии PHP уязвимы?
Все версии до 8.5.12, 8.4.27, 8.3.36 и 8.2.35 в поддерживаемых ветках. Поддержка PHP 8.1 и более старых версий прекращена, проект PHP не выпускает для них обновлений; считайте их уязвимыми, пока поставщик не подтвердит перенесённое исправление.
Мой сайт не показывает версию PHP. Я в безопасности?
Не обязательно. Скрытие версии (expose_php = Off) — хорошая практика, но оно ничего не исправляет. Проверьте на сервере командой php -v или обратитесь к провайдеру.
Проверка показывает старую версию, а хостинг говорит, что она исправлена. Кто прав?
Возможно, оба. Дистрибутивы Linux, такие как Debian, Ubuntu и RHEL, часто переносят исправления безопасности, не меняя номер версии. Спросите у хостинга, какая сборка пакета установлена и упоминаются ли в её журнале изменений CVE-2026-109618 и CVE-2026-109619.
Затронуты ли WordPress, Laravel или моя CMS?
Уязвимости находятся в самом PHP, поэтому под угрозой любое приложение, работающее на уязвимом PHP. Исследователи продемонстрировали атаки без аутентификации на WordPress, Drupal и Joomla, но это лишь примеры — достаточно даже простой страницы «Hello World». Обновление WordPress или плагинов проблему не решает — нужно обновить PHP.
Могут ли данные утечь, даже если код не выполнялся?
Да. CVE-2026-109619 может раскрыть память процесса PHP — пароли, токены сессий, ключи API и сертификаты из других запросов — без выполнения кода атакующим. Такие утечки не оставляют файлов, и их трудно обнаружить, поэтому смените секреты каждого сайта, который работал на уязвимой версии в интернете.