В PHP, на котором работают WordPress, Magento, Drupal, Nextcloud, множество корпоративных сайтов и интернет-магазины найдены две опасные уязвимости (CVE-2026-109618 и CVE-2026-109619, известны как PHP2Shell). Им присвоен критический уровень опасности: 9,2 из 10.
В чём опасность
Злоумышленнику не нужен пароль. Достаточно отправить на сайт специально подготовленный запрос, и он сможет запускать свои команды на сервере и читать данные из его памяти: пароли, ключи доступа, сессии пользователей. Уязвимый код существует очень давно, ещё с PHP 5.4, а атаки уже продемонстрированы на популярных платформах.
Почему защита сайта не спасает
Ошибка находится в самом PHP, а не в вашем сайте или плагинах. Закрыть её можно только обновлением PHP.
Если сайт взломан, страдают клиенты: утекают логины, переписка, персональные и платёжные данные. Для бизнеса это простой, штрафы за утечку и потеря репутации.
Что делать, если вы не технический специалист
Владелец сайта: напишите хостинг-провайдеру или веб-студии и спросите, какая версия PHP используется и обновлена ли она.
Руководитель: поручите ИТ-отделу или подрядчику проверку сегодня и запросите письменное подтверждение.
Пользователь сервисов: смените пароли на важных сайтах и включите двухфакторную аутентификацию.
Что делать, если вы технический специалист
1. Обновить PHP или установить исправленные пакеты от поставщика ОС, затем перезапустить PHP-FPM и веб-сервер.
2. Проверить версии PHP на всех серверах, начиная с доступных из интернета.
Если обновление невозможно прямо сейчас, временно:
– отключить session.upload_progress.enabled, а для 8.5 задать fatal_error_backtraces = 0;
– задать memory_limit = -1 без возможности переопределения (повышает риск исчерпания памяти и DoS);
– ограничить размер HTTP-запросов или заблокировать multipart/form-data (перестанет работать загрузка файлов);
закрыть внешний доступ к уязвимым сервисам.
Не забывайте мониторить аномальные запросы, ошибки памяти и подозрительные дочерние процессы веб-сервера. Важно: временные меры не заменяют обновление.