PHP Alert
Критическая угроза · PHP2ShellCVE-2026-109618 / CVE-2026-109619

Предупреждение владельцам сайтов

PHP под атакой.
Ваш сайт может
быть следующим.

Если исправления ещё не установлены.

Две критические уязвимости могут открыть путь к выполнению чужого кода на сервере. Атакующему может не понадобиться пароль от админки.

Cloudflare уже сообщает об атакующем трафике. Ждать, пока сайт перестанет открываться, — значит ждать возможных последствий.

Посмотреть сводку ↓Что сделать сейчас ↓

Основание: бюллетень PHP и сообщение Cloudflare.

Не ждите сообщения о взломе. Проверьте установку исправлений.Сводка: сообщения 21–22 октября 2026
Дашборд ситуации

Что уже известно

Снимок проверенных сообщений.
У каждой оценки — свой источник.

Попытки атакЗафиксированы

Cloudflare сообщает об атакующем трафике и попытках обхода защиты.

Сообщение Cloudflare ↗

Попытки атак не равны числу успешных взломов. Глобальная статистика взломанных сайтов в этой сводке не установлена.

Кто требует особого внимания

Какие сайты проверить в первую очередь

Риск зависит от сборки PHP, установленных исправлений и конфигурации сервера.

Сопровождение отсутствует

Сайт давно сделали — и забыли

Разработчик больше не занимается сайтом, системного администратора нет, а кто обновляет PHP — неизвестно. Такой сайт стоит проверить в первую очередь.

Обновление откладывается

Самописные PHP-сайты

Особенно если старый код привязан к прежней версии PHP, автора уже не найти, а обновление откладывают из-за совместимости.

Наивысший технический риск по PHP

Apache с mod_php

Команда PHP выделяет этот режим как наиболее рискованный: эксплуатация может начаться до выполнения кода сайта.

Подробности у разработчиков PHP ↗
Патчи не подтверждены

Устаревшие ветки PHP

Для PHP 8.1 и старше стандартная поддержка проекта PHP завершена. Наличие специальных исправлений у поставщика нужно подтверждать отдельно.

Ответственность не определена

VPS без администрирования

Вы арендуете VPS или выделенный сервер, но сопровождение не включено? Уточните, кто устанавливает патчи: аренда сервера сама по себе этого не подтверждает.

Обновлялась только CMS

WordPress, Magento и другие PHP-системы

CMS и плагины могли обновиться, а PHP — остаться прежним. Проверить нужно именно серверную среду.

Даже новый сайт или PHP-FPM требуют проверки исправлений. Защитный экран WAF помогает снизить риск, но не заменяет обновление PHP.

Источники: бюллетень PHP, поддержка версий, рекомендации Cloudflare. Отсутствие сопровождения и отложенные обновления — причины проверить сайт приоритетно, а не подтверждение взлома.

Новости и реальные события

Угроза уже вышла за пределы бюллетеня

Материалы отобраны редакционно.
Каждая карточка ведёт к источнику.

Wikimedia / Wikitech
Профилактические ограничения

Wikimedia ограничила часть сервисов ради обновления PHP

Официальная сводка описывает отключения и поэтапное восстановление. Это профилактическая мера; она не доказывает взлом. Состояние указано в сообщении от 22 октября.

Сообщение Wikimedia ↗
Cloudflare
Попытки атак

Атакующие уже пробуют обойти защиту

Cloudflare наблюдает атакующий трафик и изменение запросов для обхода правил. Компания рекомендует обновить PHP даже при включённой защите WAF.

Прямое сообщение Cloudflare ↗
PHP.net
Критические уязвимости

PHP выпустил экстренные исправления

Две CVE могут позволить выполнение кода без авторизации. Команда PHP призывает установить исправления; наибольший риск отмечен для Apache с mod_php.

Официальный бюллетень PHP ↗
Ubuntu Security
Патчи поставщика

Исправленная сборка может иметь старый номер версии

Ubuntu опубликовала обновлённые пакеты. Поэтому состояние сервера проверяют по сборке и патчам поставщика, а не только по номеру PHP.

Бюллетень Ubuntu ↗

Сводка сообщений 21–22.10.2026. Дата карточки — дата публикации или обновления источника. Данные относятся к указанному срезу.

Почему это касается владельца сайта

Проблема глубже,
чем пароль
или плагин.

PHP — серверная среда, на которой работают многие веб-приложения. Исправление должно попасть именно в PHP, обслуживающий ваш сайт.

  • Обновить только WordPress недостаточно

    Обновление CMS и плагинов само по себе не заменяет исправление PHP.

  • Защитный экран не отменяет обновление

    WAF снижает воздействие известных способов атаки. Патч PHP всё равно необходим.

  • Риск может быть незаметен снаружи

    По одному адресу сайта часто нельзя определить сборку PHP и наличие исправлений. «Версия не видна» не означает «безопасно».

Что сделать сейчас

Передайте информацию администратору или хостеру

01 / УТОЧНИТЬ

Кто обновляет PHP?

Свяжитесь с администратором или хостинг-провайдером. Уточните, кто отвечает за серверную среду вашего сайта.

02 / ПОДТВЕРДИТЬ

Обе CVE закрыты?

Попросите подтвердить наличие исправлений в обслуживающей сайт сборке PHP с учётом патчей поставщика.

03 / ПРОВЕРИТЬ

Обновление применено?

Пусть администратор проверит рабочие процессы PHP и основные функции сайта после установки патчей.

Готовый текст для обращения

Проверьте, закрыты ли CVE-2026-109618 и CVE-2026-109619 в PHP, который обслуживает наш сайт. Подтвердите установленную сборку с учётом патчей поставщика и применение исправлений к рабочим процессам.

PHP 8.2.35PHP 8.3.36PHP 8.4.27PHP 8.5.12

Исправленные релизы из бюллетеня PHP от 21 октября. Для дистрибутивных сборок сверяйте патчи поставщика; один номер версии не даёт окончательного вывода.

Разобраться без технического жаргона

Частые вопросы

Сайт работает. Значит, он защищён?

Нет. Уязвимый сайт может открываться как обычно. Нужна проверка установленной сборки PHP и применённых исправлений.

В браузере есть замочек HTTPS. Этого недостаточно?

HTTPS защищает соединение с сайтом, но сам по себе не подтверждает, что серверное программное обеспечение исправлено.

Можно ли определить риск по одному адресу?

Иногда доступны полезные признаки, но надёжный вывод часто требует данных администратора или хостера. Отсутствие открытой версии не доказывает отсутствие риска.

Отключение сервиса означает, что его взломали?

Не обязательно. Оператор может ограничить сервис профилактически, пока устанавливает исправления. Подтверждение взлома — отдельный факт.

Если самостоятельно разобраться не получается

Поможем выяснить,
есть ли риск.

Посмотрим доступные сведения о сайте, уточним, что проверить у хостера, и поможем разобраться с состоянием PHP. Если риск подтвердится — можем выполнить исправление удалённо. По вашему поручению можем сами связаться с хостером, запросить сведения об исправлениях и помочь согласовать обновление.

5 000 ₸

Оценка риска

За один сайт. Проверим доступные сведения и обозначим, что удалось подтвердить.

до 40 000 ₸

Исправление при наличии риска

За один сайт, удалённо. Необходимые работы согласуем до выполнения.

Если по адресу недостаточно данных, потребуется информация от администратора или хостера. Порядок оплаты согласуем перед работой.

Обсудить оценку риска

Оценка риска — 5 000 ₸ за один сайт.

Пришлите адрес сайта и кратко опишите ситуацию. По вашему поручению можем сами связаться с хостером и уточнить состояние PHP.

Написать в WhatsApp

Email: info@kogut.academy
Пароли при первом обращении не присылайте.

Kogut.academy · Алматы

Контакты

Если нужна помощь с проверкой сайта — напишите в WhatsApp или на email. Для первого обращения достаточно адреса сайта и описания ситуации.

Почта и адрес

info@kogut.academy

Алматы, Казыбек би 50Посещения по предварительной записи.

Общие контакты Kogut.academy · страница контактов основного сайта ↗