Непачнатият PHP е отворена врата. Ние я затваряме.
Отдалечена спешна помощ за фирми в Европа: пачване на PHP, проверка за следи от пробив, премахване на злонамерен код, заздравяване на сървъра. Незабавно, със специализирани партньори, докато инцидентът бъде приключен и документиран.
$ php -v PHP 8.3.35 (cli) (built: Sep 30 2026) ! Състояние преди пача от 21.10.2026 г. $ phpsos pruefen --ziel produktion Режим на работа .. php-fpm CVE-2026-109618 .. открито CVE-2026-109619 .. открито Рестартиране на worker процесите .. предстои $ phpsos absichern [ok] Пакет 8.3.36 е инсталиран [ok] всички worker процеси са рестартирани [ok] Файловата система е проверена за уеб шелове [ok] Изготвен отчет за ръководството
- Made in GermanyИТ сигурност от Германия, работа по европейското законодателство за защита на данните.
- Над 25 годиниНад 25 години сме специализирани в ИТ сигурност и експлоатация на сървъри заедно с нашата партньорска мрежа.
- Партньорска мрежаСпециализирани специалисти по киберсигурност за форензичен анализ, тестове за проникване и заздравяване на сървъри, координирани чрез едно лице за контакт.
Засегнати ли сте? Обадете се. Ние ще помогнем.
Хакнат сървър, блокиран сайт, открит уеб шел или несигурност дали PHP2Shell ви засяга: свържете се с нас сега. Поемаме случая от първото съобщение, дистанционно и без пътуване.
Пачнат ли е вече Вашият PHP?
Въведете Вашата версия на PHP. Тестът я сравнява със съобщенията за сигурност на php.net и показва какво да направите по-нататък. Важно: дори коригирана версия не доказва, че преди актуализацията нищо не се е случило.
Колко спешна е Вашата ситуация?
Четири въпроса, една оценка, първите стъпки и подготвено WhatsApp съобщение до нас. При ниво 3 важи: нищо не изтривайте, не преинсталирайте и запазете следите.
От спешния сигнал до заздравения сървър
Ние поемаме техническата част и предоставяме доказателствата, от които се нуждаят ръководството, защитата на данните и застрахователят.
Спешна помощ при PHP2Shell: помощ при уязвимостта в PHP
Затваряме PHP2Shell на Вашите уеб сървъри отдалечено: опис, пач или временна мярка, рестартиране на всички worker процеси и писмено доказателство.
Прочетете още →02Хакнат уебсайт: какво да правя? Спешна помощ отдалечено
Уебсайтът Ви е хакнат или се държи необичайно? Поемаме отдалечено ограничаването, запазването на следите, почистването и документирането.
Прочетете още →03Услуга за пач на PHP: актуализация с рестартиране и доказателство
Внасяме PHP актуализацията на Вашите сървъри, рестартираме всички PHP процеси и предоставяме писмено доказателство за версията, състоянието на пакетите и рестартирането.
Прочетете още →04Заздравяване (hardening) на сървъри за PHP
Заздравяваме Вашите PHP уеб сървъри по твърд план: изолация за всеки уебсайт, сигурна PHP конфигурация, права върху файловете, достъпи, протоколи и резервни копия.
Прочетете още →05Премахване на зловреден софтуер и уеб шелове от уебсайт
Премахваме злонамерен код, уеб шелове и задни вратички от уебсайтове и сървъри, изграждаме наново от надеждни източници и затваряме входния път.
Прочетете още →06Реагиране при инциденти (Incident Response) при атаки на сървъри
Структурирана обработка на инциденти при атаки срещу уеб сървъри: картина на положението, ограничаване, отстраняване, възстановяване и последваща работа с твърди роли.
Прочетете още →Така работим при спешен случай
Ясни стъпки, един контактен човек, всичко отдалечено. Когато са нужни форензика или пентест, се включват специалисти от нашата партньорска мрежа.
Оценка на ситуацията
Пишете ни по WhatsApp или се обаждате. Уточняваме системата, версията на PHP, хостинг доставчика и наблюденията.
Запазване на следите и затваряне
Запазване на следите, пачване на PHP или временни мерки, рестартиране на всички worker процеси, доказване на версията с пача.
Проверка и почистване
Проверка на файловете, базата данни, акаунтите и логовете за следи от пробив. Премахване на уеб шелове и задни вратички.
Заздравяване и отчет
Заздравяване на конфигурацията, настройване на мониторинг, отчет за ръководството, защитата на данните и застрахователя.
Още не е възможен пач? Временни мерки
php.net посочва настройки, които затрудняват познатите пътища на атака, докато бъде инсталирана актуализацията. Изберете своя режим на работа, копирайте редовете и след това рестартирайте всички PHP процеси.
BSI (Федералната служба за информационна сигурност на Германия) препоръчва: ако актуализацията не е възможна веднага, уеб сървърът да се изключи временно от мрежата.
Временни мерки според php.net, не заместват актуализацията. memory_limit=-1 само заедно с ограничение на паметта чрез контейнер или cgroup. Преди това запазете копие на конфигурацията.
Кой какво прави? Празнината между хостинг доставчика и агенцията
Много фирми разчитат, че „някой“ ще инсталира пача. По правило разпределението изглежда така:
| Задача | Хостинг доставчик (споделен хостинг) | Агенция / уеб дизайн | PHP SOS |
|---|---|---|---|
| Актуализиране на PHP пакета | най-често да | най-често не | да, или заедно с Вашия хостинг доставчик |
| Рестартиране на всички worker процеси и доказване | отчасти | не | да, с доказателство |
| Проверка дали е имало пробив преди пача | по правило не | отчасти | да |
| Премахване на уеб шелове и задни вратички | по правило не | отчасти | да |
| Отчет за ръководството, защитата на данните и застрахователя | не | рядко | да |
| Заздравяване и текущ мониторинг | отчасти | отчасти | да |
Какво е доказано и какво да направите сега
Факти от съобщенията на php.net и BSI, поднесени за ръководството и администраторите.
Какво е PHP2Shell? Уязвимостта, обяснена просто
PHP2Shell са две критични уязвимости в самия PHP, чрез които атакуващите могат без удостоверяване да изпълняват код на уеб сървъри. Положението с ясни думи.
Прочетете още →CVE-2026-109618: RCE чрез Out-of-Memory състояние
CVE-2026-109618 е една от двете уязвимости на PHP2Shell: състояние Out-of-Memory може да прекъсне PHP по средата на обработката на заявка. Поправена от PHP 8.5.12, 8.4.27, 8.3.36 и 8.2.35.
Прочетете още →CVE-2026-109619: RCE чрез остаряло глобално състояние
CVE-2026-109619 е втората уязвимост на PHP2Shell: вътрешно състояние на заявка може да остане след освобождаването на паметта и да бъде използвано от следващата заявка в същия worker.
Прочетете още →CVE-2026-115560: бележка за Session Upload Progress
CVE-2026-115560 е бележка на php.net от 23.10.2026 г.: възможно изпълнение на код само при необичайна конфигурация на сесиите. Средство до следващото издание: session.upload_progress.enabled=0.
Прочетете още →Кои PHP версии са засегнати?
PHP2Shell е поправена в PHP 8.5.12, 8.4.27, 8.3.36 и 8.2.35. За PHP 8.1 и по-стари вече няма официални актуализации. Таблицата показва състоянието по клонове.
Прочетете още →Как да проверите правилно PHP версията и състоянието на пача
Показаната PHP версия сама по себе си не казва дали PHP2Shell е затворена. Решаващи са състоянието на пакета, backport-овете и дали новите процеси наистина работят.
Прочетете още →За Вашата платформа и Вашия сървър
Къде се крие злонамереният код в WordPress, Shopware или TYPO3 и как наистина да инсталирате пача на Plesk, cPanel или в контейнер.
Платформи
Сървър и хостинг
Всеки бранш има различни данни, които може да загуби
Здравни данни, професионална тайна пред клиентите, платежни данни: ние съобразяваме проверката и отчета с Вашите задължения.
10 стъпки, преди да поемем случая
Отметнете какво е свършено. Списъкът се запазва във Вашия браузър.
Отметките се запазват само във Вашия браузър.
72 часа, NIS2, застраховка
Обща ориентация за ръководството. Не представлява правен съвет.
Задължение за уведомяване по ОРЗД: 72 часа след инцидента
След атака срещу уеб сървър може да възникне задължение за уведомяване на надзорния орган. Тук общо е описано кога тече срокът от 72 часа и какво влиза в него.
Прочетете още →NIS2 и сигурност на уеб сървърите
NIS2 задължава много фирми към управление на риска и уведомления. Тук общо е описано какво означава това за уеб сървърите и къде ще намерите надеждни данни.
Прочетете още →Киберзастраховка: какво е важно при щета
При атака ранното информиране на застрахователя, запазените доказателства и съгласуваните стъпки често решават за изплащането. Тук общо са описани типичните точки.
Прочетете още →Отговорност на ръководството при пропуски в ИТ сигурността
ИТ сигурността е задача на ръководството. Тук общо е описано какви задължения за грижа важат и как управителите вземат проследими решения при уязвимости като PHP2Shell.
Прочетете още →Специализирани статии за администратори и разработчици
Хронология на PHP2Shell: от 17 до 25 октомври 2026 г.
Всички доказани дати за PHP2Shell в един преглед, от първия наблюдаван опит за атака до състоянието към 25.10.2026, и какво следва от тях за Вашата проверка.
Прочетете още →Потвърждение от хостинг доставчика за PHP актуализацията: как да попитате за състоянието на пача
Показаната версия на PHP доказва малко след PHP2Shell. С този шаблон изисквате от хостинг доставчика потвърждение, което можете да документирате.
Прочетете още →Разпознаване и премахване на уеб шел
Как да откриете задни вратички на PHP уеб сървъри, без да унищожите следи, и защо само изтриването рядко е достатъчно.
Прочетете още →Откриване на задна вратичка в WordPress: систематично търсене
Къде обикновено се крият задните вратички в WordPress и как администраторите ги откриват систематично с WP-CLI и няколко команди.
Прочетете още →Сигурно конфигуриране на php.ini
Кои настройки в php.ini намаляват повърхността за атака, как да ги защитите от презаписване и какво важи допълнително след PHP2Shell.
Прочетете още →Правилно използване на PHP disable_functions
С disable_functions заключвате рисковите функции на PHP. Как да определите списъка според приложението си, без да спрете уебсайта.
Прочетете още →Ситуация, ръководства, помощ при вземане на решения
От нивото на предупреждение на BSI през changelog файловете на пакетите до въпроса дали да преинсталирате, или да почистите. Всяка статия е с източници.
PHP2Shell: какво е доказано и какво не
Проверка на фактите за PHP2Shell: кои твърдения идват от първични източници, кои от медийни съобщения и кои твърдения не издържат проверка.
Прочетете още →Смяна на PHP версията в клиентската зона на хостинга
Как да смените PHP версията в клиентската зона на хостинг доставчика, коя версия да изберете и какво да проверите преди и след това.
Прочетете още →Предупредителен сигнал: уеб сървърът стартира shell
Ако процес на PHP-FPM или на уеб сървъра стартира shell, това е един от най-силните предупредителни сигнали за проникване. Така проверявате дървото на процесите, класифицирате изключенията и наблюдавате модела трайно.
Прочетете още →Изолиране на PHP-FPM пулове за всеки сайт
Отделен пул за всеки сайт е началото, не краят. Така проверявате съществуващите пулове и заздравявате сокетите, разширенията, статус страниците, ресурсите и логовете.
Прочетете още →Сигурно съхранение на пароли в PHP: правилно използване на password_hash
Как разработчиците съхраняват пароли в PHP с password_hash и password_verify, избират подходящия метод и заменят стари MD5 или SHA-1 хешове, без да принуждават всички потребители да сменят паролата си.
Прочетете още →Договори с ИТ доставчици: ясно уреждане на задълженията за сигурност
PHP2Shell показа колко често е неясно кой трябва да пачва. Кои задължения за сигурност принадлежат в договорите с агенция, хостинг и ИТ доставчик.
Прочетете още →Програмният език PHP, обяснен разбираемо
Как PHP генерира една страница, какво са SAPI, PHP-FPM и OPcache и защо именно това определя сигурността. Към това има речник с всички специализирани термини.
Какво е PHP2Shell?
PHP2Shell е името на две критични уязвимости в самия PHP (CVE-2026-109618 и CVE-2026-109619, CVSS 9,2). Те могат да позволят на атакуващи да изпълняват злонамерен код на сървъра без вход в системата. Корекции (пачове) има от 21.10.2026 г.
Кои версии на PHP са сигурни?
Корекциите са включени в PHP 8.5.12, 8.4.27, 8.3.36 и 8.2.35. Хостинг доставчиците и дистрибуциите понякога внасят backport корекции, без да променят номера на версията. Решаващо е състоянието на пакета или писменото потвърждение от доставчика.
Достатъчна ли е актуализация на WordPress или на магазина?
Не. Уязвимостта е в PHP, а не в CMS. Актуализацията на CMS не я отстранява. А пачът за PHP не премахва злонамерен код, който вече е бил внедрен преди това.
Колко бързо можете да помогнете?
Работим отдалечено и започваме, щом получим достъпите. Пишете ни по WhatsApp за системата, версията на PHP и какво сте забелязали. След това веднага уточняваме действията.
Работите ли и за агенции и клиенти на хостинг доставчици?
Да. Работим директно за фирми, на заден план по поръчка на агенции и в съгласуване с Вашия хостинг доставчик, когато той администрира сървъра.
Трябва ли да съобщим за инцидента?
Ако може да са засегнати лични данни, по чл. 33 от ОРЗД по правило важи срок за уведомяване от 72 часа от узнаването. Дали този срок се прилага в случая, уточнете със своето длъжностно лице по защита на данните. Ние предоставяме необходимата техническа документация.
Всеки час има значение. Пишете ни сега.
Опишете накратко системата, версията на PHP и какво сте забелязали. Ние се свързваме с Вас, уточняваме ситуацията и работим отдалечено, докато инцидентът бъде приключен и документиран.