Накратко: Дали сте засегнати от PHP2Shell, зависи от три неща: версията на PHP, режима на работа и дали и как е инсталиран пач. Ако не сте сигурни, свържете се с нас още сега. Засегнати ли сте? Обадете се. Помагаме Ви. Изясняваме го отдалечено на самия сървър, а не по усещане, и затваряме уязвимостта, ако е отворена.
Сега не трийте нищо и не инсталирайте наново. Дори да искате само да изясните дали сте засегнати: ако сървърът евентуално вече е атакуван, са ни нужни файловете и логовете непроменени. Съобщете за спешен случай и ще минем заедно през проверката.
Засегнати ли сте? Тези случаи влизат в контролния списък
PHP2Shell са две критични уязвимости в самия PHP (CVE-2026-109618 и CVE-2026-109619, и двете с най-висока оценка 9,2 по CVSS v4.0). Те позволяват зловреден код от разстояние без вход в системата. Засегнати могат да бъдат всички режими на работа: PHP-FPM, Apache с mod_php, php-cgi, FrankenPHP и LiteSpeed. Проверете всяка от тези системи:
- собствени сървъри, vServer и root сървъри с PHP
- хостинг пакети и управлявани сървъри (managed), дори ако нямате достъп до конфигурацията
- контейнери и платформени услуги, които носят със себе си образ на PHP
- тестови системи, staging среди и забравени стари системи, които са достъпни от интернет
- NAS устройства, апаратни решения (appliances) или софтуер от доставчици на услуги, които вътрешно ползват PHP
Именно забравените системи са рискът. Според Unit 42 има над 22,6 милиона изложени, потенциално уязвими инстанции, а BSI очакваше бърза мащабна експлоатация.
Какво да направите веднага
- Направете опис. Запишете всички сървъри, домейни и хостинг договори, на които работи PHP, и кой отговаря за тях.
- Установете версията на PHP на всяка система. На сървърите с
php -v. Имайте предвид, че командният ред може да ползва друга версия от уеб сървъра. - Изяснете режима на работа. PHP работи ли като PHP-FPM, като mod_php или чрез LiteSpeed? При mod_php екипът на PHP оценява риска като най-висок.
- Попитайте хостинг доставчика и изпълнителите. Писмено: коя версия работи, инсталирана ли е корекцията, рестартирани ли са всички процеси?
- Запазете логовете. Специализираната преса съветва логовете от 20.10.2026 г. нататък да се запазват.
- Не чакайте дълго. Ако една система е отворена и пачът не е възможен веднага, BSI препоръчва уеб сървърът да се изключи временно от мрежата.
Как конкретно помага PHP SOS?
Изясняваме засегнатостта отдалечено и с доказателства.
- Преглед на положението: Вие ни представяте своя опис, а ние подреждаме системите по достъпност и риск.
- Запазване и затваряне: Където е отворено, първо запазваме състоянието, а после затваряме уязвимостта с актуализация и рестартиране. Където това не е възможно веднага, въвеждаме преходни мерки, които не са пълна защита.
- Проверка и почистване: Проверяваме дали уязвимостта е била експлоатирана преди пача и при нужда почистваме. Ясно разграничаваме дали един сървър е засегнат и дали евентуално вече е бил атакуван.
- Заздравяване и отчет: Получавате списък по системи: версия, режим на работа, доказателство за пача, отворени точки.
Как се доказва засегнатостта
Номерът на версията сам не стига, защото доставчиците пренасят корекциите в по-стари версии (backport). Ubuntu 24.04 според съобщения например показва 8.3.6 и след актуализацията. Три пътя са надеждни:
| Път | Какво показва | Граница |
|---|---|---|
| Сравняване на версията с корекционните състояния | 8.5.12, 8.4.27, 8.3.36 или 8.2.35 и по-висока е коригирана | важи само за оригинални версии, не за backport |
Тест за memory_hard_limit_percent |
bool(false) означава: директивата е непозната, следователно е засегната |
изпълнява се поотделно за всяка версия и режим на работа |
| Търсене в changelog на пакета по номера на CVE | доказва backport при дистрибуции | източникът е архивът за сигурност на доставчика |
Тестът изглежда така:
php -r 'var_dump(ini_get("memory_hard_limit_percent"));'
Как да проверите версията и състоянието на пача правилно, е описано на страницата Правилна проверка на версията на PHP и на състоянието на пача. Преглед на клоновете дава Кои версии на PHP са засегнати?. Защо показаният номер може да изглежда стар въпреки пача, обяснява статията php -v показва стар номер.
Засегнати и вече без пач: PHP 8.1 и по-стари
За PHP 8.1 и по-стари вече няма официални актуализации от проекта PHP, а само минимални backport корекции в изходния код за 7.4, 8.0 и 8.1. Който ползва такава версия, обикновено има два пътя: доставчик с доказан backport или миграция към поддържана версия. Съществуват търговски предложения за дългосрочна поддръжка, но дали и кога те покриват PHP2Shell, трябва да потвърди писмено доставчикът. Помагаме с класифицирането в PHP 8.1 и по-стари: Какво важи сега и с изпълнението в Услугата за PHP пачове.
Какво да ни изпратите
- Списък на Вашите сървъри, домейни и хостинг доставчици
- Версия на PHP на всяка система, доколкото е известна
- Режим на работа и уеб сървър, доколкото са известни
- Информация дали пред сървъра има Cloudflare или друга защита и дали origin сървърът е достъпен директно
- Отговорите на Вашия хостинг доставчик, ако вече сте го питали
- Лице за контакт за одобрения и рестартирания
Защо PHP SOS
Работим Made in Germany и от над 25 години със своята партньорска мрежа от кибер специалисти сме специализирани в ИТ сигурността. Получавате един партньор за контакт, който преглежда Вашия опис и доказва всяко твърдение, вместо само да чете номера на версии. Работим отдалечено, без пътуване, и документираме какво сме проверили. Твърдение като „сигурно“ даваме само дотолкова, доколкото може да се докаже. За по-големи среди може да се обмисли Спешната помощ при PHP2Shell.
Засегнати ли сте? Обадете се. Помагаме Ви.
Ако не знаете дали сте засегнати, това е достатъчна причина да се свържете с нас още сега. Обадете се или пишете по WhatsApp. Поемаме от първото съобщение и изясняваме случая с Вас на самия сървър. Съобщете за спешен случай сега.
Често задавани въпроси
Засегнат ли съм от PHP2Shell, ако използвам само WordPress или магазин?
Възможно е да сте. Уязвимостите са в PHP, а не в CMS. Решаващо е коя версия на PHP и кой режим на работа реално обслужват Вашия сайт; актуализация на WordPress не променя нищо по това.
Достатъчно ли е номерът на версията, за да знам дали имам пач?
Не винаги. Дистрибуциите и хостинг доставчиците понякога инсталират корекциите като backport и тогава номерът остава същият. Достоверни са changelog на пакета с номерата на CVE или писменото потвърждение на Вашия доставчик.
Има ли бърз тест дали моята версия на PHP съдържа корекцията?
Според наръчника на PHP версия, която не познава директивата memory_hard_limit_percent, е засегната. Тестът трябва да се изпълни поотделно за всяка версия на PHP и всеки режим на работа, защото командният ред може да ползва друга версия от уеб сървъра.
Засегнати ли са и по-стари версии на PHP като 7.4 или 8.0?
Според специализираната преса са засегнати почти всички версии чак до PHP 5.4. За 8.1 и по-стари вече няма официални актуализации от проекта PHP, а само минимални backport корекции в изходния код. Дали доставчикът ги е инсталирал, трябва да потвърди той.
Защитава ли ме Cloudflare, ако съм засегнат?
Отчасти. Cloudflare е пуснала защитни правила, но сама предупреждава, че те не заместват актуализацията. Ако Вашият origin сървър е достъпен директно, защитата се заобикаля.