# PHP2Shell: хакнат сървър? Обадете се. Помагаме Ви.

> Подозирате атака чрез PHP2Shell? Запазваме следите, затваряме уязвимостта и почистваме сървъра. Обадете се или пишете ни по WhatsApp.

Източник: https://phpsos.de/bg/soforthilfe/php2shell-gehackt/  
Актуалност: 25.10.2026  
Доставчик: PHP SOS, Спешна помощ за PHP и сигурност на сървъри. Незабавна помощ по WhatsApp: https://wa.me/491736494914?text=%D0%97%D0%B4%D1%80%D0%B0%D0%B2%D0%B5%D0%B9%D1%82%D0%B5%2C%20PHP%20SOS%2C%20%D0%B8%D0%BC%D0%B0%D0%BC%D0%B5%20%D0%BD%D1%83%D0%B6%D0%B4%D0%B0%20%D0%BE%D1%82%20%D0%BF%D0%BE%D0%BC%D0%BE%D1%89%20%D1%81%20%D0%BD%D0%B0%D1%88%D0%B8%D1%8F%20PHP%20%D1%81%D1%8A%D1%80%D0%B2%D1%8A%D1%80.%20%D0%A4%D0%B8%D1%80%D0%BC%D0%B0%3A%20%E2%80%A6%20%D0%A3%D0%B5%D0%B1%D1%81%D0%B0%D0%B9%D1%82%3A%20%E2%80%A6

**Накратко:** Ако подозирате, че сървърът Ви е хакнат чрез PHP2Shell, свържете се с нас още сега. Засегнати ли сте? Обадете се. Помагаме Ви. Поемаме от първото съобщение ограничаването на щетите, запазваме следите, затваряме уязвимостта, премахваме зловредния код и документираме инцидента, докато бъде приключен.

> **Действайте веднага:**
> **Сега не трийте нищо и не инсталирайте наново.** Изтритите файлове и презаписаните логове са следите, по които се вижда дали и как някой е проникнал. При нужда изключете сървъра от мрежата, но го оставете непроменен. [Съобщете за спешен случай](https://phpsos.de/bg/notfall/) и ние ще Ви кажем следващата стъпка.

## Засегнати ли сте? Признаци, че PHP2Shell вече е бил използван

PHP2Shell е името на две критични уязвимости в самия PHP, чрез които атакуващи могат да изпълняват зловреден код от разстояние без вход в системата. Досега няма недвусмислен отпечатък. Затова е важно какво прави сървърът, а не какво намира един скенер. Признаци за проникване са:

- Процеси на уеб сървъра или на PHP-FPM, които стартират шел като `sh` или `bash`. Това е силен сигнал за тревога.
- Нови или променени PHP файлове в папки за качване, кеш или временни файлове, които никой не е създавал.
- Cron задачи, услуги или SSH ключове, които не познавате.
- Изходящи връзки към непознати адреси, внезапно високо натоварване или необичаен трафик.
- Заявки в логовете от 17.10.2026 г. нататък, особено подозрителни качвания и заявки към сесии преди инсталирането на пача.
- Съобщения от хостинг доставчика, браузъра или търсачката за спам, зловреден софтуер или пренасочвания.

Повече по темата ще намерите в [Компрометиран ли съм вече?](https://phpsos.de/bg/php2shell/bin-ich-gehackt-anzeichen/). Липсата на всякакви признаци не е доказателство за чист сървър. Тя означава само, че засега нищо не е правило впечатление.

## Какво да направите веднага

1. **Не променяйте нищо.** Не изтривайте файлове, не възстановявайте резервно копие и не инсталирайте наново, преди да е направено запазване на данните.
2. **Запазете логовете.** Помолете хостинг доставчика или ИТ отдела да не презаписват протоколите за достъп, грешки и системата. Специализираната преса съветва логовете от 20.10.2026 г. нататък да се пазят.
3. **Решете за достъпността.** Ако данни изтичат или посетители може да са изложени на риск, изключете сайта от мрежата или го прехвърлете в режим на поддръжка.
4. **Съберете достъпите.** Запишете кой има достъп до сървъра, панела, CMS и базата данни. Паролите сменяйте едва след уточняване с нас и от чисто устройство.
5. **Информирайте хората.** Управлението, длъжностното лице по защита на данните, а при действаща полица и застрахователя.
6. **Обадете ни се или ни пишете.** Колкото по-рано научим за положението, толкова повече следи ще могат да бъдат доказани.

## Как конкретно помага PHP SOS?

Работим отдалечено, без пътуване, в цяла Германия и Европа.

1. **Преглед на положението:** Изясняваме кои системи работят, кой режим на работа на PHP се използва, какво е направило впечатление и кои данни може да са засегнати.
2. **Запазване и затваряне:** Запазваме файловете, базата данни и логовете и установяваме състоянието преди всяка промяна. След това затваряме уязвимостта с пача или, когато той още не е възможен, с преходни мерки и рестартираме всички PHP процеси.
3. **Проверка и почистване:** Търсим уеб шелове, задни вратички, cron задачи и чужди достъпи и ги премахваме или изграждаме състоянието наново от надеждни източници. Начина на работа описва [Премахване на зловреден софтуер и уеб шелове](https://phpsos.de/bg/leistungen/malware-entfernung/).
4. **Заздравяване и отчет:** Сменяме засегнатите тайни, допълваме защитните мерки и предоставяме отчет, който разграничава доказаното, вероятното и неизвестното.

Ако инцидентът излезе извън рамките на един сървър, преминаваме към структурирано [реагиране при инциденти (Incident Response)](https://phpsos.de/bg/leistungen/incident-response/). Ако са нужни доказателства, които издържат пред съд, привличаме [ИТ форензика](https://phpsos.de/bg/leistungen/it-forensik/).

## Защо пачът сам не стига след атака

Уязвимостите са в интерпретатора на PHP, а не в CMS. Проектът PHP публикува на 21.10.2026 г. версиите 8.5.12, 8.4.27, 8.3.36 и 8.2.35. Който след това е актуализирал и е рестартирал всички worker процеси, е защитен срещу нови атаки по този път. Но каквото атакуващият е оставил преди това, си стои: уеб шел, допълнителен акаунт, планирана задача. Именно затова дните между 17.10. и 21.10. са особено важни.

Към това се добавя втора точка: уеб шелът често е само първата стъпка. Който е могъл да изпълнява код на уеб сървъра, е могъл да чете и конфигурационни файлове и да поеме от тях достъпите до базата данни, до пощата и до API. Тези тайни трябва да се подменят, иначе вратата остава отворена, макар PHP да е с пач. Как да проверите файловете и времената по смисъл, описва ръководството за [разпознаване на уеб шелове](https://phpsos.de/bg/ratgeber/webshell-erkennen/).

## Задължение за уведомяване и документация

Ако са могли да бъдат засегнати лични данни, може да възникне задължение за уведомяване на надзорния орган в рамките на 72 часа. Часовникът тръгва от узнаването, а не от приключването на разследването. Дали Вашият случай подлежи на уведомяване, решават длъжностното лице по защита на данните или адвокат; ние не предоставяме правни консултации. Нашата документация осигурява основата за това. Повече за срока има в [Задължение за уведомяване по ОРЗД в рамките на 72 часа](https://phpsos.de/bg/compliance/dsgvo-meldepflicht-72-stunden/), а за стъпките след това – в [Контролния списък след хакерска атака](https://phpsos.de/bg/ratgeber/checkliste-nach-dem-hack/).

## Какво да ни изпратите

- Описание какво прави впечатление, от кога, и кой го е забелязал
- Вид на сървъра: собствен сървър, управляван сървър (managed) или хостинг пакет, както и хостинг доставчик
- Резултат от `php -v` и, ако е известен, режимът на работа (PHP-FPM, mod_php, LiteSpeed)
- Момент на актуализацията на PHP, ако вече е инсталирана
- Достъп до сървъра или разрешение да разговаряме с Вашия хостинг доставчик
- Лице за контакт с право на решение за изключване и рестартиране

## Защо PHP SOS

Работим Made in Germany и от над 25 години със своята партньорска мрежа от кибер специалисти сме специализирани в ИТ сигурността. Имате един партньор за контакт, който Ви съпровожда от първото съобщение до приключването. Всичко, което правим, се документира, за да можете да го докажете пред управлението, застрахователя и органите. Не обещаваме нищо, което никой не може да изпълни: когато липсват логове, казваме го открито и посочваме какво е доказано и какво остава предположение.

## Засегнати ли сте? Обадете се. Помагаме Ви.

Не чакайте подозрението да се превърне във сигурност. Обадете се или пишете по WhatsApp. Поемаме от първото съобщение и оставаме до приключването и документирането на инцидента. [Съобщете за спешен случай сега](https://phpsos.de/bg/notfall/).


## Често задавани въпроси

**Достатъчно ли е да актуализирам PHP, ако сървърът ми може би вече е хакнат?**  
Не. Актуализацията затваря уязвимостта, но не премахва вече внедрен зловреден софтуер и не доказва, че преди това нищо не се е случило. След пача сървърът трябва да се провери за следи от проникване.

**По какво познавам успешна атака чрез PHP2Shell?**  
Няма публикувани, потвърдени Indicators of Compromise. Откриването се основава на поведение: процеси на уеб сървъра, които стартират шел, нови PHP файлове в папки за качване или кеш, непознати cron задачи или SSH ключове и подозрителни изходящи връзки.

**Трябва ли да изключа сървъра от мрежата, ако подозирам проникване?**  
Често това е правилното решение, защото BSI съветва уеб сървърът да се изключи временно от мрежата дори когато актуализацията не е възможна веднага. Важно е при това да не се трие нищо и да се запазят логовете и файловете, за да може инцидентът да бъде изяснен.

**Трябва ли да уведомя органа по защита на данните след атака чрез PHP2Shell?**  
Ако е възможно да са засегнати лични данни, може да се наложи уведомяване в рамките на 72 часа. Решението вземате заедно с Вашето длъжностно лице по защита на данните или с адвокат; ние предоставяме техническите факти за това.

**Наистина ли вече има сървъри, хакнати чрез PHP2Shell?**  
Според медийни съобщения от 17.10.2026 г. са наблюдавани първи опити за атака, а Cloudflare също съобщи за наблюдавани опити. BSI първоначално не съобщи за потвърдени успешни атаки в широк мащаб. В конкретния случай това може да се изясни само на самия сървър.

## Източници

- [BSI: Федерална служба за информационна сигурност на Германия](https://www.bsi.bund.de/)
- [php.net: Съобщения за сигурност](https://www.php.net/)
- [ОРЗД чл. 33: Уведомяване на надзорния орган](https://dsgvo-gesetz.de/art-33-dsgvo/)