22 октября НКЦКИ опубликовал предупреждение о двух критических дырах в PHP: CVE-2026-109618 и CVE-2026-109619, вместе их называют PHP2Shell. Обе получили 9.2 балла по CVSS 4.0 и позволяют постороннему без логина запустить свой код на сервере. Это касается почти любого сайта на PHP: WordPress, Bitrix, Joomla, самописных CMS и панелей управления.
Сами уязвимости и исправленные версии я разбирал отдельно: что сломано в PHP и до каких версий обновляться. А утром 21 октября, ещё до выхода исправлений, был анонс security-релиза PHP. Здесь о том, что произошло после.
Что требует НКЦКИ
По данным НКЦКИ, дыры сидят в ядре языка и есть во всех версиях начиная с 5.4.0. Причина в ошибках работы с памятью, в том числе в использовании памяти после освобождения. Центр советует обновить PHP до 8.5.12, 8.4.27, 8.3.36 или 8.2.35, после обновления перезапустить PHP-FPM или Apache, найти всё, где крутится PHP (включая панели управления и стороннее ПО), проверить серверы на следы взлома и следить за попытками атак.
Операторам критической информационной инфраструктуры ушло более жёсткое письмо. Как пишет Хабр со ссылкой на РБК, его разослали через ГосСОПКА госорганам, банкам, операторам связи, энергетике, транспорту и медицине. Если быстро поставить исправления не выходит, получателям предписано ограничить внешний доступ к уязвимым серверам, вплоть до полного отключения. Ещё просят прогнать серверы антивирусом, посмотреть журналы и сообщать о подозрительных инцидентах.
Если обновиться прямо сейчас нельзя
НКЦКИ называет две временные меры: выключить session.upload_progress и ограничить обработку multipart-запросов на уровне веб-сервера. Первое делается одной строкой в php.ini:
session.upload_progress.enabled = Off
После правки перезапустите PHP-FPM или Apache. Учтите, что ограничение multipart ломает загрузку файлов через формы: картинки в админке, вложения, импорт. Это заплатка на пару дней, а не замена обновлению. Команда PHP прямо говорит, что закрыть дыры полностью можно только новой версией.
Рег.ру временно отключал загрузку файлов
Как раз такую меру применил Рег.ру. По данным Хабра, клиенты хостинга жаловались, что при загрузке файлов через панель получают ошибку 403: не грузились картинки и не работала синхронизация каталогов. Поддержка объяснила, что загрузку временно ограничили, чтобы защитить сайты клиентов. Если ваш сайт на Рег.ру и в эти дни ломалась загрузка, причина скорее всего в этом, а не в самом сайте.
Что делать со своим сайтом
- Узнайте версию PHP, на которой реально работает сайт, а не только консольную:
php -vи страница phpinfo или «Здоровье сайта» в WordPress. - На поддерживаемых ветках обновитесь до 8.5.12, 8.4.27, 8.3.36 или 8.2.35. Для 7.4, 8.0 и 8.1 команда PHP выпустила патчи, сборки для Debian и Ubuntu есть в репозитории Ондржея Суры.
- Перезапустите PHP-FPM или Apache, иначе в памяти останется старый бинарник.
- На виртуальном хостинге спросите поддержку, обновлён ли PHP, и переключите сайт на свежую ветку в панели.
- Обновление WordPress, Bitrix или Joomla само по себе не помогает: дыра в интерпретаторе, а не в CMS.
Итого: PHP2Shell бьёт по самому PHP, исправления вышли 21 октября, НКЦКИ советует ставить их немедленно, а значимым организациям, которые не успевают, отключать уязвимые серверы от внешнего доступа. Хостеры вроде Рег.ру на время режут загрузку файлов. Самый простой путь для владельца сайта: обновить PHP и перезапустить его сегодня.
