<?php Незалежна перевірка безпеки PHP
Чи вразливий ваш PHP до PHP2Shell?
Дві критичні вразливості в самому PHP дозволяють віддалено виконати код. Їх виправлено 21 жовтня 2026 року. Перевірте, що сайт повідомляє про свою версію PHP, або вставте рядок версії — і дізнайтеся, що саме потрібно зробити.
- Пасивно: один звичайний запит, без експлойтів
- Безкоштовно, без реєстрації та реклами
- На основі php.net та офіційних бюлетенів
2Перевірити версію
Перевірка виконується у вашому браузері — нам нічого не надсилається. Одна версія на рядок, не більше 20.
01 · php.net · 2026-10-23
Виправлені версії
| Гілка | Виправлено в | Статус гілки |
|---|---|---|
| PHP 8.5 | 8.5.12 | Активна підтримка |
| PHP 8.4 | 8.4.27 | Активна підтримка |
| PHP 8.3 | 8.3.36 | Лише виправлення безпеки |
| PHP 8.2 | 8.2.35 | Лише виправлення безпеки — підтримка закінчується 31 груд. 2026 |
| PHP 8.1 · 8.0 · 7.x · 5.x | Офіційного випуску немає | Підтримку припинено — проєкт PHP не випускає оновлень |
Джерело: бюлетень безпеки php.net від 21 жовтня 2026 року. Остання перевірка: 2026-10-23.
Що таке PHP2Shell?
PHP2Shell — назва, яку дослідники дали двом вразливостям у рушії PHP: CVE-2026-109618 (пошкодження пам’яті, коли PHP вичерпує пам’ять під час розбору запиту) і CVE-2026-109619 (внутрішній стан, що зберігається між запитами в одному робочому процесі). Обидві оцінено в 9.2 за CVSS v4.0.
Зловмисник без автентифікації може виконати код на сервері або прочитати пам’ять процесу PHP — зокрема паролі, токени сесій, ключі API і сертифікати, що належать іншим запитам, — взагалі не виконуючи жодного коду. За даними php.net, вони стосуються PHP, що обслуговує вебзапити: PHP-FPM, Apache з mod_php, php-cgi, FrankenPHP і LiteSpeed. Дослідники продемонстрували атаки на WordPress, Drupal і Joomla, але конкретний застосунок не потрібен: навіть проста сторінка «Hello World» на вразливому PHP під загрозою.
Що робити зараз
- Оновіть PHP до 8.5.12, 8.4.27, 8.3.36 або 8.2.35 — або встановіть виправлений пакет вашого дистрибутива.
- Перезапустіть усі процеси PHP: PHP-FPM, Apache, обробники черг, контейнери. До цього оновлення не діє.
- Перевірте кожен PHP на сервері — панелі керування часто встановлюють кілька версій паралельно.
02 · shell
Перевірка на самому сервері
Перевірка сайту бачить лише те, що сервер вирішує повідомити. На сервері точну відповідь дадуть такі команди:
# версія PHP за замовчуванням
php -v
# інші версії PHP, встановлені панелями або пакетами
ls -d /usr/bin/php* /usr/sbin/php-fpm* /opt/alt/php*/usr/bin/php /opt/cpanel/ea-php*/root/usr/bin/php /opt/plesk/php/*/bin/php 2>/dev/null
# налаштування, пов’язані з частковими заходами захисту
php -i | grep -E 'session.upload_progress.enabled|post_max_size|memory_limit|fatal_error_backtraces'
# що ваш сайт повідомляє відвідувачам
curl -sI https://your-site.com/ | grep -i -E '^(x-powered-by|server):'03 · FAQ
Поширені запитання
Які версії PHP вразливі?
Усі версії до 8.5.12, 8.4.27, 8.3.36 і 8.2.35 у підтримуваних гілках. Підтримку PHP 8.1 і старіших версій припинено, проєкт PHP не випускає для них оновлень; вважайте їх вразливими, доки постачальник не підтвердить перенесене виправлення.
Мій сайт не показує версію PHP. Я в безпеці?
Не обов’язково. Приховування версії (expose_php = Off) — добра практика, але воно нічого не виправляє. Перевірте на сервері командою php -v або зверніться до провайдера.
Перевірка показує стару версію, а хостинг каже, що її виправлено. Хто має рацію?
Можливо, обидва. Дистрибутиви Linux, як-от Debian, Ubuntu і RHEL, часто переносять виправлення безпеки, не змінюючи номер версії. Запитайте в хостингу, яку збірку пакета встановлено і чи згадуються в її журналі змін CVE-2026-109618 і CVE-2026-109619.
Чи вразливі WordPress, Laravel або моя CMS?
Вразливості містяться в самому PHP, тому під загрозою будь-який застосунок, що працює на вразливому PHP. Дослідники продемонстрували атаки без автентифікації на WordPress, Drupal і Joomla, але це лише приклади — достатньо навіть простої сторінки «Hello World». Оновлення WordPress чи плагінів проблему не вирішує — потрібно оновити PHP.
Чи можуть дані витекти, навіть якщо код не виконувався?
Так. CVE-2026-109619 може розкрити пам’ять процесу PHP — паролі, токени сесій, ключі API і сертифікати з інших запитів — без виконання коду зловмисником. Такі витоки не залишають файлів, і їх важко виявити, тому змініть секрети кожного сайту, який працював на вразливій версії в інтернеті.