Критична уязвимост в PHP (PHP2Shell): какво направихме и какво трябва да знаеш

На 21 октомври PHP публикува спешна поправка за две критични уязвимости, CVE-2026-109618 и CVE-2026-109619, известни като PHP2Shell. Те позволяват отдалечено изпълнение на код и засягат всички хостинг компании и всички сайтове, които работят на PHP: WordPress, WooCommerce, Joomla, Magento, OpenCart и други. В момента обновяваме всички сървъри на JetHost. Ако сайтът ти е на PHP 8.2 или по-нова версия, не трябва да правиш нищо.

Какво се случи

Уязвимостите са в самия PHP, а не в конкретен плъгин, тема или CMS. Оценени са с 9.2 от 10 по скалата CVSS. Засегнати са всички начини, по които PHP обслужва уеб заявки, включително PHP-FPM, LiteSpeed и Apache с mod_php. Атакуващият не се нуждае от достъп до сайта: достатъчна е една заявка, която се обработва още преди кодът на сайта да се зареди.

Какво направихме

PHP пусна поправените версии 8.2.35, 8.3.36, 8.4.27 и 8.5.12 на 21 октомври в 17:00 българско време. В 17:06 започнахме да обновяваме сървърите. CloudLinux пусна поправките и за по-старите версии, от 5.2 до 8.1, и в момента ги инсталираме. Докато обновяването приключи, на сървърите ни работят WAF правила, които засичат опити за атака през тези уязвимости. Не е нужно да рестартираш нищо от твоя страна.

Ще допълваме тази статия, докато приключим, и ще отбелязваме всяка промяна в раздела „Актуализации“ по-долу.

Какво трябва да направиш

Сайтът ти е на PHP 8.2 или по-нова версия

Нищо. Ние обновяваме PHP вместо теб. Ако си на PHP 8.2, имай предвид, че официалната поддръжка за нея приключва на 31 декември 2026. Препоръчваме да преминеш на 8.4 или поне на 8.3.

Сайтът ти е на PHP 8.1 или по-стара версия

PHP вече не поддържа официално версии 8.1, 8.0, 7.x и 5.x. CloudLinux пусна поправки и за тях и в момента ги инсталираме, но препоръчваме да преминеш на PHP 8.4. Ако темата или плъгините ти още не я поддържат, избери поне 8.3. Можеш да го направиш сам от cPanel, в раздела Избери PHP версия. Преди смяната направи backup и провери дали темата и плъгините ти поддържат новата версия.

Ако не си сигурен коя версия използваш или искаш да направим смяната вместо теб, пиши ни в тикет и ще проверим сайта ти.

Имаш VPS, който управляваш сам

Обнови PHP до една от поправените версии възможно най-скоро и рестартирай PHP-FPM и уеб сървъра. Ако използваш LiteSpeed, спри и процесите lsphp (например с pkill lsphp), защото рестартирането на LiteSpeed не ги спира.

Актуализации

21.10, 17:00: PHP публикува поправените версии.
21.10, 17:06: Започнахме обновяването на сървърите на JetHost.
21.10, 17:55: CloudLinux обяви, че подготвя поправки за по-старите версии на PHP, от 5.2 до 8.1, и очаква да ги пусне до около 5 часа. Ще ги инсталираме веднага щом излязат.
22.10, 00:25: CloudLinux пусна поправките за по-старите версии на PHP, от 5.2 до 8.1. В момента ги инсталираме на сървърите.