Критические уязвимости PHP: проверьте WordPress и PrestaShop

Обновлено 22 октября 2026 года. Если сайт принимает заявки, продаёт товары или хранит данные клиентов, проверьте у хостинга, установлены ли последние исправления PHP. 21 октября проект PHP выпустил обновления против двух критических уязвимостей, известных как PHP2Shell. Они могут позволить удалённое выполнение кода без входа в аккаунт. Подробности опубликованы в официальном уведомлении PHP.

Для владельца бизнеса задача понятная: выяснить, на какой версии PHP работает конкретный сайт, получить подтверждение исправлений и проверить работу после обновления. Ниже — порядок действий для WordPress, WooCommerce, PrestaShop и других сайтов на PHP.

Что произошло: две уязвимости PHP2Shell

Проблемы получили идентификаторы CVE-2026-109618 и CVE-2026-109619. Обе имеют оценку критичности 9,2 из 10 по CVSS 4.0. Первая связана с обработкой нехватки памяти, вторая — с использованием внутреннего состояния после освобождения памяти. Технические описания доступны в уведомлениях команды PHP: CVE-2026-109618 и CVE-2026-109619.

Оценка показывает серьёзность возможных последствий. Состояние конкретного сервера определяют по установленным исправлениям, окружению и результатам проверки.

Какие сайты нужно проверить в первую очередь

Команда PHP указывает на риск для установок, обслуживающих веб-запросы, включая PHP-FPM, Apache с mod_php, php-cgi, FrankenPHP и LiteSpeed. Особенно высокий риск отмечен для mod_php. Поэтому проверка нужна сайтам на PHP независимо от выбранной CMS. См. область затронутых установок.

Начните с публичных сайтов и магазинов. Учитывайте дополнительные домены, старые версии сайта и тестовые копии, доступные из интернета. ENISA рекомендует организациям выявить приложения на PHP и согласовать обновления с поставщиками услуг, уделяя приоритетное внимание публичным системам. Источник: совместное предупреждение ENISA и европейских служб кибербезопасности.

А что с Shopify и Shoptet?

Shopify: согласно инженерному блогу Shopify, ядро платформы построено на Ruby on Rails. Хостинг и обновления основной платформы обеспечивает Shopify. Обычный магазин Shopify поэтому нельзя автоматически относить к PHP-сайтам, владельцам которых нужно самостоятельно обновлять серверный PHP из-за этих ошибок.

Shoptet: официальный материал от июня 2026 года подтверждает использование PHP в части кода. При этом хостинг, обновления и техническую эксплуатацию обеспечивает Shoptet. Владелец магазина не меняет PHP сам: подтверждение устранения CVE-2026-109618 и CVE-2026-109619 нужно запросить у поддержки. Использование PHP само по себе не доказывает, что сейчас установлена версия без исправлений.

Отдельно проверьте внешние приложения и интеграции. Shopify поддерживает разработку приложений на PHP, а API-дополнения Shoptet, согласно официальной документации, работают на инфраструктуре своих разработчиков. Если коннектор, собственное приложение или связанный сайт использует PHP, запросите такое же подтверждение исправлений у его администратора. Ответ поддержки основной платформы сам по себе не подтверждает состояние этих отдельных систем.

Какие версии PHP содержат исправления

Для поддерживаемых веток опубликованы следующие исправленные версии:

Хостинг или поставщик Linux может перенести исправления в пакет со старым номером версии. Поэтому меньшая цифра требует уточнения: запросите подтверждение исправления обеих CVE для установленного пакета. Таблица и пояснение о таких пакетах приведены в официальной рекомендации PrestaShop.

PHP 8.1 и более старые ветки уже не получают стандартные обновления проекта PHP. Для них нужно отдельно уточнить наличие исправленного пакета у поставщика и подготовить переход на поддерживаемую ветку. Источник: рекомендации PHP для старых версий.

Как узнать версию PHP в WordPress и PrestaShop

WordPress: откройте «Инструменты → Здоровье сайта → Информация → Сервер». В английском интерфейсе путь называется Tools → Site Health → Info → Server; названия в локализации могут отличаться. Этот способ указан в сообщении WordPress.

PrestaShop: найдите «Расширенные параметры → Информация» (Advanced Parameters → Information) и раздел сведений о сервере. Путь приведён в инструкции PrestaShop.

Сохраните результат и дату проверки. Для администратора сервера важно подтвердить версию среды, которая реально обрабатывает запросы домена: проверка PHP в командной строке может показывать другую установку. У нескольких сайтов на одном аккаунте версии тоже могут различаться.

Как организовать обновление PHP и сохранить работу сайта

Предлагаем такой порядок проверки безопасности сайта и обновления:

1. Определить ответственного. На управляемом хостинге обратитесь к провайдеру; для собственного VPS — к администратору сервера.

2. Подготовить резервную копию. Сохраните файлы и базу данных, проверьте доступность восстановления и согласуйте окно работ.

3. Проверить совместимость. Уточните поддержку выбранной ветки PHP у CMS, темы, модулей и интеграций. При наличии тестовой среды проверьте обновление там.

4. Установить исправления и применить их. Ответственный специалист должен перезапустить соответствующие процессы PHP и подтвердить активную версию. На необходимость перезапуска отдельно указывает PrestaShop.

5. Проверить пользовательские сценарии. Откройте основные страницы, отправьте тестовую форму, проверьте вход в администрацию. Для магазина проверьте корзину, оформление заказа и платёжную интеграцию в согласованном тестовом режиме.

Зафиксируйте результат: какой сайт обновлён, какой пакет используется, когда применены исправления и какие функции проверены. Так у владельца остаётся понятное подтверждение выполненной работы.

Что написать хостингу: готовый запрос

Отправьте поддержке сообщение, подставив свой домен:

Здравствуйте! Просим проверить сайт [домен] в связи с CVE-2026-109618 и CVE-2026-109619. Подтвердите, установлены ли исправления обеих уязвимостей в PHP, который обслуживает веб-запросы этого домена. Укажите активную версию или пакет с перенесёнными исправлениями и подтвердите, что процессы PHP после обновления перезапущены. Если исправления ещё не применены, сообщите порядок и срок работ, а также необходимые действия с нашей стороны.

Ответ «PHP обновляется автоматически» стоит уточнить применительно к своему домену. Сохраните письменное подтверждение вместе с результатами проверки сайта.

Кто исправит уязвимость PHP и поможет с проверкой

Серверные исправления обычно применяет хостинг или системный администратор. Специалист по сайту проверяет совместимость CMS, модулей и пользовательских сценариев. Для защиты WordPress и работоспособности магазина полезно заранее согласовать обе части работы и ответственного за результат.

В NezHost можно обратиться за проверкой безопасности сайта и оценкой необходимых доработок. Сначала определим доступный объём проверки, затем предложим согласованный план исправлений и обслуживания. Укажите домен, CMS, хостинг и известную версию PHP. Если поддержка уже ответила, приложите текст ответа без секретных данных.

Обсудить проверку сайта с NezHost. Пароли и закрытые ключи в первом сообщении не нужны.

FAQ: это означает, что мой сайт уже взломан?

Наличие уязвимости само по себе не подтверждает взлом. Проверка исправлений отвечает на вопрос о текущей защите от этих CVE; расследование возможного проникновения — отдельная работа. Неизвестные администраторы, подменённые страницы или неожиданные перенаправления требуют дополнительного разбора. Сообщите специалисту, что изменилось и когда вы это заметили.

FAQ: достаточно ли плагина безопасности или WAF?

WAF может снизить воздействие отдельных атак во время обновления. Полное устранение этих проблем требует исправленного PHP: команда проекта предупреждает, что временные меры не обеспечивают полноценной защиты. См. официальные ограничения временных мер. Обновление WordPress само по себе эти уязвимости PHP не исправляет; это также разъясняет команда WordPress.

FAQ: PHP обновили — проверка закончена?

После обновления нужны подтверждение активного исправленного окружения и проверка работы сайта. Если злоумышленник получил доступ раньше, установка патча сама по себе не удаляет оставленные файлы, учётные записи или изменения. При подозрении на взлом согласуйте отдельную проверку. Для дальнейшего обслуживания назначьте ответственного за обновления, резервные копии и периодическую проверку восстановления.