Критическая уязвимость PHP (PHP2Shell): как за минуту проверить, затронут ли ваш сайт
Коротко: 21 октября 2026 года разработчики PHP выпустили срочные обновления, которые закрывают две критические уязвимости (их называют PHP2Shell). Через них можно взломать сайт без пароля, просто отправив ему специальный запрос. Уязвимы почти все сайты на WordPress, 1С-Битрикс, Joomla, OpenCart и других движках на PHP, если хостинг ещё не обновил PHP. Безопасные версии: 8.5.12, 8.4.27, 8.3.36 и 8.2.35 и новее. Ниже — как за минуту проверить свой сайт и что делать, если он уязвим.
Что случилось
В самом PHP — языке, на котором работает большая часть сайтов в интернете, — нашли две ошибки: CVE-2026-109618 и CVE-2026-109619. Разработчики оценили каждую в 9,2 балла из 10 по шкале опасности. Обе позволяют злоумышленнику выполнить свой код на сервере сайта: подменить страницы, встроить вирус, украсть базу клиентов и заявок.
Опасность в том, что для атаки не нужен ни пароль, ни доступ к админке, ни уязвимый плагин: проблема в самом PHP, а не в движке сайта. Уязвимы обычные настройки, которые стоят у большинства хостингов. Рабочие примеры атак уже опубликованы, а Cloudflare сообщила о первых попытках взлома.
Затронут ли ваш сайт
| Сайт сделан на… | Что делать |
|---|---|
| Tilda, Wix, Craftum, Nethouse, Яндекс Бизнес и других конструкторах | Ничего. Сервер обслуживает сам конструктор, вам обновлять нечего. |
| WordPress, 1С-Битрикс, Joomla, OpenCart, MODX, Drupal — на обычном хостинге | Проверить версию PHP в панели хостинга (как — ниже). Скорее всего, хостинг уже обновил её сам, но убедиться нужно. |
| Любой движок на своём сервере (VPS) | Обновить PHP самостоятельно или попросить разработчика — это ваша зона ответственности. |
| PHP версии 8.1, 7.x и старше | Срочно переходить на новую версию: для старых веток PHP обновления больше не выпускает. |
Как проверить версию PHP за минуту
Способ 1. Панель хостинга. Почти у всех хостингов версия PHP показана в разделе «Сайты», «Настройки сайта» или «PHP». Сравните её с безопасными:
- ветка 8.5 — нужна 8.5.12 или новее;
- ветка 8.4 — 8.4.27 или новее;
- ветка 8.3 — 8.3.36 или новее;
- ветка 8.2 — 8.2.35 или новее;
- 8.1 и ниже — уязвима, нужно переходить на новую ветку.
Если в панели указано только «8.3» без последних цифр, напишите в поддержку хостинга: «Обновлён ли PHP на моём тарифе до версии с исправлением CVE-2026-109618?». Это нормальный вопрос, его сейчас задают многие.
Способ 2. Наша бесплатная проверка. Введите адрес сайта ниже. Если сервер сообщает версию PHP, проверка сравнит её с исправленными и покажет результат в разделе «Безопасность». Заодно она найдёт устаревший движок, библиотеки с известными уязвимостями и признаки взлома. Что ещё проверяет сканер.
Проверьте сайт на уязвимый PHP
Бесплатно, без регистрации и без доступа к сайту — результат за полминуты.
Что делать, если PHP уязвим
На обычном хостинге:
- Сделайте резервную копию сайта и базы — в панели хостинга это обычно одна кнопка.
- Выберите в настройках сайта новую версию PHP той же ветки (например, 8.3.36 вместо 8.3.20). Это безопасно: внутри одной ветки сайт работает так же.
- Если новой версии в списке нет — напишите в поддержку. Если хостинг не обновляет PHP, это повод задуматься о переезде.
- Откройте сайт и проверьте главное: формы заявок, корзину, вход в админку.
Переход со старой ветки (7.4 → 8.3 и т.п.) сложнее: старые плагины и шаблоны могут перестать работать. Сначала обновите движок и плагины, сделайте копию, и лучше поручите это разработчику — но не откладывайте.
На своём сервере установите обновления системы или PHP из того источника, откуда он ставился, и перезапустите PHP (php-fpm или веб-сервер). Пока обновление не установлено, часть атак останавливает защита Cloudflare или аналогичный фильтр запросов, но это временная мера.
Проверьте, не взломали ли сайт
Если сайт работал на уязвимой версии после 21 октября, стоит убедиться, что его не успели взломать:
- в админке не появились новые пользователи-администраторы;
- на сайте нет чужих ссылок на казино, ставки, аптеки — их часто прячут, чтобы видели только поисковики;
- хостинг не присылал писем о вирусах или подозрительной нагрузке;
- в папках сайта нет незнакомых файлов .php с недавней датой изменения.
Если что-то нашлось — смените все пароли (админка, хостинг, FTP, база данных) и попросите поддержку хостинга помочь найти и удалить вредный код.
При чём тут закон о персональных данных
Если через взломанный сайт утекли данные клиентов — заявки, телефоны, почты, — это утечка персональных данных. О ней нужно сообщить в Роскомнадзор в течение 24 часов, а штраф за саму утечку с 2025 года считается от количества пострадавших и может доходить до миллионов рублей. Обновить PHP намного дешевле. Что делать при утечке данных.
Проверьте сайт на уязвимый PHP и признаки взлома
Бесплатно и без регистрации: версия PHP, устаревший движок и библиотеки, признаки взлома — за полминуты.
Статья — общая информация. Источники: бюллетени безопасности проекта PHP и национальных центров кибербезопасности, октябрь 2026 года.