Накратко: Какво да направи клиентът на хостинг при PHP уязвимостта PHP2Shell? PHP актуализацията по правило не е нужно да я инсталирате Вие, при споделен хостинг това поема хостинг доставчикът. Вашите задачи са други: да изискате писмено потвърждение за състоянието на пача, да изберете в клиентското меню поддържана PHP версия и да проверите уебсайта си за необичайни находки. Тази статия отговаря на 15-те най-чести въпроса кратко и по ред.
PHP уязвимост за клиент на хостинг: засегнат ли съм, какво да направя?
От 21 октомври 2026 г. получаваме много въпроси от фирми, чийто уебсайт е при хостинг доставчик. Повечето се въртят около едни и същи точки. Който иска да прочете по-подробно за отговорностите, ще ги намери в Споделен хостинг: какво прави хостинг доставчикът и какво трябва да направите Вие.
1. Засегнат ли е изобщо моят уебсайт?
Ако Вашият уебсайт работи с WordPress, Shopware, TYPO3, Joomla, Contao или друга PHP система, сървърът под него евентуално е засегнат. Чисти HTML страници без PHP не са. При съмнение помага поглед в клиентското меню: ако там има настройка за PHP версията, ползвате PHP.
2. Каква е разликата между споделен хостинг и собствен сървър?
При споделения хостинг споделяте сървър, поддържан от хостинг доставчика, с други клиенти; хостинг доставчикът поддържа PHP. При собствен root сървър или vServer отговорни сте Вие. При управляван сървър договорът урежда кой инсталира актуализациите.
3. Хостинг доставчикът ми изпрати циркулярен имейл. Трябва ли да направя още нещо?
Прочетете внимателно какво пише в него. Циркулярният имейл често само потвърждава, че хостинг доставчикът „работи по темата“. Нужно Ви е изявление за Вашия пакет: PHP клон, състояние на пача, момент и рестарт.
Отговорност и актуализация
4. Хостинг доставчикът инсталира ли актуализацията автоматично?
По правило да, за PHP версиите, които предлага на сървърите си. Дали това вече е станало и дали са покрити и по-старите версии, е различно при всеки хостинг доставчик. Питайте.
5. Клиентското ми меню показва стар номер на версия. Незащитен ли съм?
Не непременно. Много хостинг доставчици внасят поправките като backport, номерът тогава остава същият. Plesk например може да продължи да показва 8.2.34, въпреки че грешката е отстранена. Меродавно е потвърждението на хостинг доставчика.
6. Още ползвам PHP 7.4 или 8.1. Какво сега?
Тези клонове вече не получават официални актуализации от PHP проекта. Някои хостинг доставчици доставят собствени поправки, други не. Изяснете това писмено и планирайте преминаване към поддържан клон. Преди това проверете в системните изисквания на Вашата CMS кои PHP версии поддържа.
7. Мога ли сам да сменя PHP версията?
При повечето хостинг доставчици да, в клиентското меню. Как става това и на какво да обърнете внимание преди това, описва статията Смяна на PHP версията в клиентската зона на хостинга. Направете преди това резервно копие.
8. Помага ли актуализацията на WordPress или на добавките?
Срещу PHP2Shell - не, защото уязвимостта е в PHP. Актуализациите на CMS все пак имат смисъл, защото затварят други уязвимости.
Проверка и доказване
9. Как да получа доказателство от хостинг доставчика?
С писмено запитване, което изисква конкретни данни: състояние на пакета за всеки PHP клон, дата на инсталиране, рестарт на всички PHP процеси. Образец за копиране предлага ръководството Поискайте потвърждение за PHP актуализация от хостинг доставчика.
10. Мога ли да задам временни мерки чрез .user.ini?
Не. php.net изрично съветва временните настройки да не се задават чрез ini_set() или .user.ini. Те принадлежат в конфигурацията на сървъра, а тя при споделен хостинг се управлява от хостинг доставчика.
11. Уебсайтът ми беше за кратко офлайн. Хакнат ли съм бил?
Не непременно. Някои хостинг доставчици изключиха предпазно уебсайтове или рестартираха сървъри. Питайте за причината, преди да правите изводи.
12. По какво разпознавам, че уебсайтът ми е бил атакуван?
Възможни указания са непознати администраторски акаунти, нови PHP файлове в папката за качване, пренасочвания към чужди страници, чужди страници в индекса на Google или предупреждения в Search Console. Помолете хостинг доставчика да съхрани логовете за достъп от 20 октомври.
Когато нещо не е наред
13. Хостинг доставчикът не отговаря или отговаря уклончиво. Какво да направя?
Питайте писмено и поставете разумен срок. Ако отговор не дойде, третирайте сървъра като непроверен и обмислете да превключите уебсайта временно към статична страница за извънредни случаи.
14. Да сменя ли хостинг доставчика?
Смяна по средата на ситуацията създава собствени рискове. Има смисъл, когато хостинг доставчикът трайно не дава информация или продължава да поддържа стари PHP версии без поправка. На какво да обърнете внимание при това, описва Смяна на хостинг доставчика след инцидент.
15. Трябва ли да съобщя нещо?
Ако има указания за атака и могат да бъдат засегнати лични данни, може да съществува задължение за уведомяване по ОРЗД, по правило в рамките на 72 часа. Изяснете това с Вашия отговорник по защита на данните или с адвокат. Това не е правна консултация.
Вашият кратък списък за проверка
- Питайте хостинг доставчика писмено за състоянието на пача и за рестарта.
- Проверете PHP версията в клиентското меню, заменете остарелите клонове.
- Прегледайте администраторските акаунти и папката за качване.
- Проверете Search Console за предупреждения.
- При необичайни находки потърсете помощ, преди да изтривате файлове.
Как помага PHP SOS конкретно?
- Изясняване с хостинг доставчика: Формулираме запитването или водим разговора и оценяваме отговора.
- Проверка на уебсайта: Търсим следи във файловете, базата данни и акаунтите, доколкото хостинг пакетът го позволява.
- Почистване: Ако открием зловреден код, го премахваме и сменяме всички достъпи.
- Документация: Получавате състоянието писмено.
При конкретно подозрение помага Спешната помощ при хакнати уебсайтове.
Заключение
Като клиент на хостинг при PHP2Shell не носите тежестта на актуализацията, но носите отговорността за уебсайта си. Повечето въпроси могат да се уредят с ясен писмен отговор от хостинг доставчика. Каквото остава след това, е погледът към собствения уебсайт: акаунти, файлове, указания от Google. Който е направил и двете, си е свършил своята част и при съмнение може да докаже, че е действал грижливо.
Често задавани въпроси
Кой отговаря за PHP актуализацията при уеб хостинга?
При споделен хостинг по правило хостинг доставчикът, защото той поддържа сървъра и PHP инсталацията. Вие отговаряте за Вашия уебсайт, за Вашите достъпи и за избора на PHP версия в клиентското меню. При управлявани сървъри договорът урежда разпределението.
Защо хостинг доставчикът ми показва стара PHP версия?
Много хостинг доставчици и дистрибуции внасят поправката като backport в съществуващата версия. Номерът тогава остава същият, въпреки че уязвимостта е затворена. Затова разчитайте на писмено потвърждение от хостинг доставчика, а не на показаното.
Какво мога да проверя сам като клиент на хостинг?
Можете да проверите зададената PHP версия в клиентското меню, да прегледате администраторските акаунти на Вашата CMS, да потърсите непознати файлове в папката за качване и да проверите Search Console за предупреждения. Състоянието на пача на самия сървър може да докаже само хостинг доставчикът.
Помага ли настройка на защитна стена в хостинг пакета?
Правилата на защитната стена на хостинг доставчика или на предварително включена услуга могат да намалят риска. Те обаче не заместват PHP актуализацията на сървъра. Затова винаги първо питайте за актуализацията.