Накратко: Ако PHP сървърът Ви създава проблеми и искате да говорите директно с експерт, обадете се или пишете по WhatsApp. Засегнати ли сте? Обадете се. Помагаме Ви. Изясняваме отдалечено дали зад това стои срив, погрешна конфигурация или атака, и поемаме от първото съобщение, докато инцидентът бъде приключен и документиран.
Сега не трийте нищо и не инсталирайте наново. И едно рестартиране или връщане към предишно състояние (rollback) може да заличи следи. Първо ни опишете какво виждате. Съобщете за спешен случай и после ще определим следващата стъпка.
Засегнати ли сте? Тези смущения са случай за нас
Не всяко смущение е атака, но в тези дни си струва да се провери. Свържете се с нас, ако във Вашата PHP система се случва следното:
- PHP процеси или уеб сървърът прекъсват, рестартират се непрекъснато или се прекратяват от системата (изходен статус 137).
- Натоварването расте без видима причина или паметта се запълва.
- Страниците връщат празни отговори, грешки 500 или съобщения за грешки, които преди не е имало.
- Под уеб сървъра или PHP-FPM работят процеси, които стартират шел.
- В папката за качване или кеш има PHP файлове, които не познавате.
- След актуализация на PHP някое приложение вече не работи.
- Вашият хостинг доставчик е блокирал достъпа или е изключил сайта.
Разликата между срив и атака обикновено се вижда едва в логовете. Първи указания за това, на какво да се обърне внимание, описва статията Уеб сървърът стартира шел.
Какво да направите веднага
- Наблюдавайте, преди да се намесите. Запишете часа, съобщенията за грешки и какво е било променено последно (актуализация, плъгин, конфигурация).
- Запазете логовете. Копирайте протоколите на уеб сървъра, PHP и системата, преди да се ротират. Специализираната преса съветва логовете от 20.10.2026 г. нататък да се пазят.
- Не рестартирайте на сляпо. Рестартирането отстранява някои сривове, но унищожава нетрайни следи. Рестартирайте, ако работата го изисква, и запишете какво сте направили.
- Преценете достъпността. Ако подозирате атака, изолирането или изключването често е правилно. BSI го съветва, когато актуализацията не е възможна веднага.
- Установете версията на PHP.
php -vпоказва версията, но не винаги тази на средата за изпълнение на уеб сървъра. - Обадете се или пишете. Колкото по-точно можете да опишете положението, толкова по-бързо стигаме до същината.
Как конкретно помага PHP SOS?
Работим отдалечено, без пътуване, в цяла Германия и Европа.
- Преглед на положението: В първия разговор слушаме и питаме целенасочено: системи, режим на работа на PHP, момент, последни промени. След това знаете дали виждаме срив, или подозрение за атака.
- Запазване и затваряне: Запазваме състоянието, отстраняваме причината и, ако е нужно, затваряме уязвимостта с актуализация, рестартиране и преходни мерки.
- Проверка и почистване: Ако се покаже проникване, премахваме зловредния код, проверяваме достъпите и тайните. Иначе документираме причината и оставяме системата да работи чисто.
- Заздравяване и отчет: Получавате кратък доклад и препоръки, за да не се повтори смущението.
Ако зад това стои повече, преминаваме към Спешната помощ при хакнат уебсайт или към структурираното реагиране при инциденти (Incident Response).
Памет, прекъсвания и новото ограничение
От изданията за сигурност от 21.10.2026 г. (8.5.12, 8.4.27, 8.3.36, 8.2.35) съществува директивата memory_hard_limit_percent. Оттогава memory_limit е мека граница. Без собствена настройка за твърда граница важи двойната стойност на memory_limit до 1G, а над това – memory_limit плюс 1G. Когато тя бъде надвишена, процесът завършва незабавно с изходен статус 137. Система, която преди актуализацията е работела на ръба на ограничението, може затова изведнъж да показва прекъсвания. Това не е атака, а следствие от корекцията, а решението е приложението или ограничението да се нагласят правилно, а не актуализацията да се отмени.
Обратно: който вижда сривове на процеси и още не е пачнал, не бива да го отминава като случайност, защото уязвимостта CVE-2026-109618 е свързана със състояние на недостиг на памет (Out of Memory). Дали това играе роля при Вас, показват логовете. Основи за управлението на паметта ще намерите в Out-of-Memory в PHP, възможни признаци за проникване – в Подозрителни процеси в Linux.
Когато хостинг доставчикът се намеси
Някои доставчици блокират акаунти или изключват превантивно сайтове. Това не означава автоматично, че сте хакнати, но може да е следствие от нередности. Попитайте за причината и момента, поискайте логовете и запишете какво изисква доставчикът. Съгласуваме се с Вашия хостинг доставчик, ако желаете. Разумно е предварително да се изясни кой при доставчика може да взема решения и дали там има протоколи на сървъра, които Вие сами не можете да видите. Такива данни, например за достъпи на мрежово ниво, по-късно могат да бъдат решаващи, когато става дума за определяне на момента на евентуално проникване.
Какво да ни изпратите
- кратко описание: какво е спряло или прави впечатление, от кога?
- вид на системата (собствен сървър, хостинг пакет, контейнер) и хостинг доставчик
- изход от
php -v, режим на работа и уеб сървър, доколкото са известни - съобщения за грешки или откъси от логовете
- момент на последната актуализация на PHP и на последните промени
- лице за контакт с право на решение за рестартиране
Защо PHP SOS
Работим Made in Germany и от над 25 години със своята партньорска мрежа от кибер специалисти сме специализирани в ИТ сигурността. Говорите с постоянен партньор за контакт, а не с билетна система. Работим отдалечено, документираме какво виждаме и правим и казваме открито какво е доказано и какво не. За остри случаи около уязвимостта има и Спешна помощ при PHP2Shell.
Засегнати ли сте? Обадете се. Помагаме Ви.
Ако PHP сървърът Ви създава проблеми, не чакайте следващия срив. Обадете се или пишете по WhatsApp. Поемаме от първото съобщение. Съобщете за спешен случай сега.
Често задавани въпроси
PHP сървърът ми изведнъж е бавен или спира: атака ли е това?
Не непременно. Сривовете често имат баналните причини като твърде малко памет, неуспешна актуализация или претоварване. Едва поглед в логовете и процесите показва дали е атака; предупредителни знаци са например шел процеси под уеб сървъра или непознати нови PHP файлове.
Какво означава изходният статус 137 при PHP процеси?
Статусът 137 означава незабавно прекратен процес. Според наръчника на PHP един процес завършва със 137, когато надхвърли твърдата граница на паметта на новата директива memory_hard_limit_percent; той обаче може да е бил прекратен и от системата поради недостиг на памет. Причината изяснява поглед в логовете.
Мога ли да говоря по телефона с експерт, преди да променя нещо?
Да, точно за това е спешната помощ. Обадете се или пишете по WhatsApp и опишете какво прави впечатление. Ще Ви кажем какво да оставите и какво можете да направите безопасно.
Да рестартирам ли просто услугата PHP?
Рестартирането може да отстрани срива, но изтрива следи в оперативната памет. Ако е възможно проникване, преди това запазете логовете и се консултирайте. След актуализация на PHP обаче рестартирането е задължително.
Работите ли и когато сървърът ми е при хостинг доставчик?
Да, работим отдалечено с достъпа, който имате, и при нужда се съгласуваме с Вашия хостинг доставчик. Какви проверки са възможни, зависи от Вашите права.