Уязвимости PHP: как бизнесу срочно защитить свой сайт

Что в статье

• Что произошло
• Какие сайты могут оказаться под угрозой
• Как проверить сайт и защититься от взлома
• Что делать, если сайт уже взломали
• Главное

Что произошло

21 октября 2026 года разработчики PHP выпустили экстренные обновления, устраняющие две критические уязвимости — CVE-2026-109618 и CVE-2026-109619. Каждая получила оценку опасности 9,2 балла из 10.

PHP — язык программирования, который используется для работы серверной части сайтов. Например, благодаря ему интернет-магазин может обрабатывать заказы, взаимодействовать с базой данных и формировать страницы для покупателей.

Обнаруженные ошибки позволяют злоумышленникам при определенных условиях удаленно выполнять команды на уязвимом сервере. Для этого им не обязательно знать пароль администратора или получать доступ к панели управления сайтом.

Возможные последствия взлома — кража клиентских данных, изменение содержимого страниц, внедрение вредоносного кода и нарушение работы сайта.

Об опасности предупредили не только разработчики PHP, но и европейские и британские ведомства по кибербезопасности. Для обеих уязвимостей уже появились публичные способы эксплуатации, поэтому откладывать установку исправлений рискованно.

Какие сайты могут оказаться под угрозой

Проблема касается сайтов, серверная часть которых использует уязвимые версии PHP. В частности, это могут быть ресурсы на популярных системах управления содержимым (CMS):

• WordPress — корпоративные сайты, блоги, небольшие интернет-магазины.
• 1С-Битрикс — интернет-магазины, корпоративные порталы и сайты компаний.
• Drupal и Joomla — информационные и корпоративные сайты.
• Самописные сайты — ресурсы, созданные разработчиками специально под задачи бизнеса.

При этом использование WordPress или другой CMS само по себе не означает, что сайт уязвим. Риск зависит от версии PHP на сервере, установленных исправлений и настроек инфраструктуры.

Исправления выпущены для следующих версий PHP:

PHP 8.1 и более ранние версии уже не поддерживаются непосредственно разработчиками языка. Если сайт работает на такой версии, необходимо обсудить с техническим специалистом переход на поддерживаемую ветку. Некоторые поставщики серверного ПО выпускают собственные исправления для старых версий.

Важно: обычного обновления WordPress, темы оформления или плагинов недостаточно, поскольку обнаруженные ошибки находятся непосредственно в PHP.

Как проверить сайт и защититься от взлома

Для проверки не обязательно самостоятельно разбираться в программировании. Если сайт обслуживает подрядчик или хостинг-провайдер, достаточно запросить у него информацию и подтверждение установки исправлений.

Шаг 1. Узнайте, какая версия PHP используется Информацию можно посмотреть в панели управления хостингом. Например, там обычно есть раздел «PHP» или «Настройки PHP».

Если сайт работает на WordPress, сведения доступны в административной панели: «Инструменты» →«Здоровье сайта» →«Информация» →«Сервер».

Если используется другая CMS, сведения можно запросить у разработчика или хостинг-провайдера.

Если компания пользуется облачным конструктором сайтов и не управляет сервером самостоятельно, стоит уточнить у поставщика сервиса, касается ли его инфраструктуры эта проблема и какие меры уже приняты.

Шаг 2. Проверьте, установлены ли обновления

Если версия PHP относится к уязвимым, нужно как можно скорее установить исправления.

На обычном виртуальном хостинге обновление может выполняться провайдером или через панель управления. Если компания арендует собственный сервер, за установку чаще отвечает ее системный администратор или технический подрядчик.

Перед изменениями желательно создать резервную копию сайта и базы данных, а также проверить совместимость новой версии PHP с используемой CMS и дополнительными модулями.

Если для обновления потребуется переход на другую ветку PHP, сначала стоит протестировать его на отдельной копии сайта. Это поможет избежать сбоев в работе.

Шаг 3. Проверьте работу сайта после обновления

После установки исправлений убедитесь, что работают основные функции сайта:

• открываются страницы и каталог товаров;
• покупатели могут оформлять заказы;
• работают формы обратной связи и онлайн-записи;
• корректно выполняются платежи;
• сотрудники могут входить в административную панель.

Если сайт принимает заказы круглосуточно, желательно проводить обновление с заранее подготовленным планом восстановления на случай технического сбоя.

Шаг 4. Что делать, если обновить PHP пока невозможно

Некоторые сайты работают на старом программном обеспечении, которое несовместимо с новыми версиями PHP. В этом случае нельзя просто отложить обновление на неопределенный срок.

Нужно обратиться к разработчику или хостинг-провайдеру и выяснить, доступны ли исправления для используемой серверной системы.

Дополнительные средства защиты — например, межсетевой экран для веб-приложений (WAF) — могут снизить часть рисков, но не заменяют устранение уязвимости. Если защитить сайт невозможно, специалисты рекомендуют рассмотреть временное ограничение доступа к нему до установки исправлений.

Что делать, если сайт уже взломали

Само наличие уязвимой версии PHP не означает, что злоумышленники получили доступ к сайту. Но если обнаружены подозрительные изменения, новые учетные записи, неизвестные файлы на сервере или необычная активность, то стоит обратиться к специалисту по информационной безопасности.

Он должен проверить журналы событий, выяснить, какие системы затронуты, и устранить причину проникновения. При необходимости потребуется восстановить сайт из проверенной резервной копии и заменить скомпрометированные пароли и ключи доступа.

Если обнаружена утечка персональных данных клиентов, компании необходимо отдельно оценить обязанности по уведомлению Роскомнадзора и пострадавших лиц.

Главное

• 21 октября разработчики PHP выпустили исправления для двух критических уязвимостей.
• Они могут затрагивать интернет-магазины, корпоративные сайты и другие ресурсы, использующие PHP.
• Владельцу бизнеса стоит проверить версию PHP на своем сайте и убедиться, что хостинг-провайдер или разработчик установил необходимые обновления. Такая проверка поможет вовремя выявить проблему и снизить риск потери данных, заказов и доступа к сайту.