Уязвимость PHP: под угрозой сайты, интернет-магазины и корпоративные сервисы
Уязвимости PHP представляют особую опасность для электронной торговли: этот язык используется в серверной части множества сайтов, включая интернет-магазины на WordPress и WooCommerce, а также проекты на «1С-Битрикс». При определённых условиях ошибка в PHP может позволить злоумышленнику выполнить код на сервере, получить доступ к данным или нарушить работу сайта. Однако последствия зависят от конкретной уязвимости, версии PHP и настроек сервера — сам факт использования PHP ещё не означает, что сайт уязвим.
Для владельцев интернет-магазинов важно прежде всего установить, какая именно ошибка безопасности обсуждалась на этой неделе, какие версии программного обеспечения она затрагивает и существует ли исправление. Без этих сведений нельзя обоснованно говорить о массовой угрозе российским сайтам.
Две критические ошибки PHP получили оценку 9,2 из 10: разработчики выпустили экстренные обновления
21 октября 2026 года разработчики PHP выпустили внеочередные обновления, устраняющие две критические уязвимости — CVE-2026-109618 и CVE-2026-109619. Обе получили оценку 9,2 балла из 10 по международной шкале CVSS 4.0. Они позволяют при определённых условиях удалённо выполнять программный код на сервере без знания пароля и предварительного доступа к системе. Уязвимости получили общее название PHP2Shell.
Предупреждения выпустили европейское агентство ENISA, британский Национальный центр кибербезопасности, CERT-EU и национальные службы реагирования на компьютерные инциденты.
Особенность происшествия в том, что ошибки обнаружены не в отдельных плагинах или системах управления сайтами, а непосредственно в PHP — программной среде, на которой работают миллионы веб-приложений.
Это означает, что проблема потенциально затрагивает разные системы независимо от их назначения: интернет-магазины, корпоративные порталы, государственные сайты, личные кабинеты, сервисы обработки заказов и внутренние информационные системы.
Что именно обнаружили специалисты
Первая уязвимость, CVE-2026-109618, связана с ошибкой обработки памяти при её нехватке. В определённых обстоятельствах PHP некорректно обрабатывает внутренние данные, что может создать возможность для выполнения постороннего кода.
Вторая, CVE-2026-109619, возникает из-за неправильной работы с данными, сохранившимися от предыдущих запросов. Серверный процесс может обратиться к уже освобождённой области памяти. Это создаёт риск как раскрытия конфиденциальной информации, так и выполнения команд злоумышленника.
Для эксплуатации этих ошибок не обязательно предварительно взламывать учётную запись администратора.
Особенно опасными разработчики PHP считают конфигурации с Apache mod_php: для них продемонстрирован сценарий атаки, срабатывающий ещё до начала выполнения кода самого веб-приложения.
Другие распространённые способы запуска PHP, включая PHP-FPM, php-cgi, FrankenPHP и LiteSpeed, также входят в число потенциально затронутых. Однако условия эксплуатации различаются.
Это принципиальный момент: даже правильно настроенный интернет-магазин с актуальными плагинами может оказаться под угрозой, если его сервер использует уязвимую версию PHP.
Какие версии PHP необходимо обновить
21 октября разработчики одновременно выпустили исправления для четырёх поддерживаемых веток языка.
| Ветка PHP | Версия с исправлениями | Что необходимо сделать |
|---|---|---|
| PHP 8.5 | 8.5.12 | Обновить более ранние сборки |
| PHP 8.4 | 8.4.27 | Обновить более ранние сборки |
| PHP 8.3 | 8.3.36 | Обновить более ранние сборки |
| PHP 8.2 | 8.2.35 | Обновить более ранние сборки |
| PHP 8.1 и старше | Поддержка основной командой прекращена | Проверить исправления поставщика ОС и планировать переход на поддерживаемую ветку |
Для серверов с Linux важно учитывать особенность пакетных обновлений: разработчики операционных систем иногда переносят исправления безопасности в более старые версии программного обеспечения. Поэтому номер версии PHP сам по себе не всегда позволяет определить наличие уязвимости. Необходимо проверять информацию поставщика конкретного дистрибутива.
Отдельного внимания требует PHP 8.2: 31 декабря 2026 года заканчивается срок его официальной поддержки. После этой даты основная команда PHP перестанет выпускать для него обновления безопасности.
23 октября обнаружилась третья уязвимость
Через два дня после экстренного обновления разработчики PHP сообщили ещё об одной проблеме — CVE-2026-115560.
Она также потенциально позволяет удалённо выполнять код, но требует редкого сочетания настроек приложения. Поэтому команда PHP оценивает вероятность её эксплуатации как невысокую и не планирует выпускать отдельное внеочередное обновление.
До выхода очередного исправления разработчики рекомендуют отключить механизм отслеживания загрузки файлов через PHP-сессии:
session.upload_progress.enabled=0
Изменение должно применяться на уровне конфигурации PHP, после чего необходимо перезапустить соответствующие серверные процессы.
Важно, что эта настройка предназначена для устранения конкретного сценария третьей уязвимости. Она не заменяет обновления, необходимые для исправления двух критических ошибок от 21 октября.
Начались ли реальные атаки
После публикации исправлений специалисты по кибербезопасности начали демонстрировать способы эксплуатации обнаруженных ошибок. Появились общедоступные экспериментальные программы, подтверждающие возможность атак.
Компания Cloudflare сообщила о первых попытках эксплуатации уязвимостей. При этом данные разных исследователей о распространённости атак различались.
Таким образом, речь идёт уже не только о теоретической опасности. Однако наличие попыток эксплуатации не означает, что произошёл массовый взлом интернет-магазинов или что все сайты на PHP одинаково уязвимы.
На 25 октября нет достаточных подтверждённых данных для оценки количества успешно взломанных сайтов в России именно через PHP2Shell.
Чем это грозит интернет-магазинам
PHP используется в серверной части многих систем электронной торговли. Среди них — WordPress с WooCommerce, OpenCart, PrestaShop, Magento и «1С-Битрикс».
Поскольку обнаруженные ошибки находятся в самой среде выполнения PHP, обновление движка интернет-магазина или его плагинов не устраняет проблему автоматически.
При успешной атаке последствия могут оказаться серьёзными.
Кража данных покупателей. Если злоумышленник получает доступ к серверному процессу, возникает риск чтения доступных ему файлов, конфигураций и данных приложения. В зависимости от прав доступа это могут быть сведения о клиентах, заказах и учётных записях.
Компрометация интернет-магазина. Получив возможность выполнять код, атакующий может попытаться изменить содержимое сайта, внедрить вредоносные скрипты или создать скрытый механизм повторного доступа.
Нарушение обработки заказов. Взломанный сервер может перестать корректно обрабатывать корзины, платежные запросы, обращения к CRM и обмен данными с учётными системами.
Утечка ключей интеграций. Особый риск представляют конфигурационные файлы, содержащие пароли баз данных и ключи API. Через них злоумышленник потенциально способен получить доступ к другим системам компании.
Масштаб последствий зависит от прав серверного процесса и архитектуры приложения. Уязвимость PHP не предоставляет автоматически полный административный доступ ко всей инфраструктуре компании.
Почему обновления требуют особого внимания в России
Для российских интернет-магазинов проблема осложняется тем, что значительная часть сайтов работает на индивидуально настроенных системах управления контентом.
В таких проектах версия PHP нередко закреплена из-за совместимости со старой редакцией CMS, самописными модулями, платёжными интеграциями или складским программным обеспечением.
Обновление PHP может потребовать проверки оформления заказов, обмена с «1С», интеграций с маркетплейсами, работы личного кабинета и других функций.
Поэтому администраторы иногда откладывают переход на новые версии. Но при критической уязвимости такая задержка создаёт дополнительный риск.
При этом нельзя утверждать, что все сайты на старых версиях PHP остаются без защиты. Некоторые российские и зарубежные поставщики операционных систем поддерживают собственные пакеты и переносят исправления безопасности в более ранние версии программного обеспечения.
Проверять необходимо не только номер PHP, но и состояние конкретного установленного пакета.
Что владельцам сайтов необходимо сделать сейчас
Разработчики PHP и национальные центры кибербезопасности рекомендуют в первую очередь проверить серверы, доступные из интернета.
1. Установить версию PHP. Проверить не только основную среду сайта, но и дополнительные приложения, административные панели, служебные сервисы и контейнеры.
2. Установить исправления. Обновить PHP до безопасной версии своей ветки либо применить официальные исправления поставщика операционной системы.
3. Проверить совместимость. После обновления протестировать корзину, оформление заказа, оплату, личный кабинет и интеграции с внешними системами.
4. Проверить журналы безопасности. Изучить подозрительные запросы, необычные ошибки серверных процессов и изменения файлов. Если обнаружены признаки взлома, одного обновления недостаточно — потребуется расследование.
5. Проверить резервные копии. Убедиться, что они доступны и позволяют восстановить сайт и базу данных.
6. Обратиться к хостинг-провайдеру. На виртуальном хостинге обновление серверной среды может зависеть от провайдера. Владельцу сайта необходимо выяснить, установлены ли исправления и требуется ли переключение версии PHP в панели управления.
Для компаний, которые не могут оперативно установить обновление, специалисты рекомендуют временно ограничить доступ к уязвимым приложениям. Отдельные изменения конфигурации способны снизить риск, но не обеспечивают полноценной защиты.
Почему эта история важнее обычного сообщения об уязвимости
Большинство регулярно обнаруживаемых ошибок безопасности затрагивает конкретную программу, расширение или ограниченный набор конфигураций.
PHP2Shell отличается тем, что уязвимости обнаружены на уровне широко распространённой серверной среды. Они потенциально затрагивают приложения разных разработчиков и назначения.
Кроме того, проблема получила необычно широкую международную реакцию. Предупреждения одновременно выпустили разработчики PHP, государственные службы кибербезопасности и отраслевые специалисты.
Появление третьей уязвимости 23 октября дополнительно показало, что проверка безопасности PHP продолжается и после экстренного выпуска исправлений.
Вывод EcomHub Research
Главное событие недели — обнаружение двух критических уязвимостей PHP с оценкой 9,2 балла и экстренный выпуск исправлений 21 октября. Уже 23 октября разработчики сообщили о третьей, менее вероятной для эксплуатации проблеме.
Для электронной торговли основной риск заключается в том, что уязвимая серверная среда может поставить под угрозу сайт даже при отсутствии известных ошибок в самой CMS.
Владельцам интернет-магазинов следует проверить установленные версии PHP и наличие исправлений. Особенно внимательно к обновлению необходимо отнестись компаниям, использующим старые версии языка и самостоятельно обслуживающим серверы.
Источники
- PHP — официальный сайт проекта. «Security advisory: Critical remote code execution vulnerabilities, update now». 21 октября 2026 года.
https://www.php.net/archive/2026.php - PHP — официальный сайт проекта. «Informational advisory: Session upload progress». 23 октября 2026 года.
https://www.php.net/ - CERT-EU. «Critical Vulnerabilities in PHP». Бюллетень безопасности 2026-018, обновлён 23 октября 2026 года.
https://www.cert.europa.eu/publications/security-advisories/2026-018 - ENISA — Агентство Европейского союза по кибербезопасности. «Joint statement on critical PHP vulnerabilities». 21 октября 2026 года.
https://www.enisa.europa.eu/news/joint-statement-on-critical-php-vulnerabilities - KZ-CERT — Национальная служба реагирования на компьютерные инциденты Казахстана. «KZ-CERT предупреждает о критических уязвимостях PHP2Shell, позволяющих удалённо выполнять произвольный код». 22 октября 2026 года.
https://cert.gov.kz/news/11/3361 - NCSC — Национальный центр кибербезопасности Великобритании. «Critical security issue affecting PHP». Октябрь 2026 года.
https://www.ncsc.gov.uk/news/critical-security-issue-affecting-php - NHS England Digital. «Critical Vulnerabilities in PHP (PHP2Shell)». Бюллетень CC-4875, 21 октября 2026 года.
https://digital.nhs.uk/cyber-alerts/2026/cc-4875 - Хабр. «Критическая уязвимость в PHP». Октябрь 2026 года.
https://habr.com/ru/news/1097016/
