На 21.10.2026 екипът на PHP пусна спешни поправки за две уязвимости, наречени PHP2Shell. Чрез тях непознат човек може да изпълни свой код на сървъра, на който е сайтът ти. Не му трябва парола, акаунт или плъгин - стига му една заявка към който и да е PHP файл.
PHP е езикът, на който работят WordPress, повечето онлайн магазини и огромна част от сайтовете на малкия бизнес в България. Ако сайтът ти е на WordPress, почти сигурно е на PHP. Затова тази новина те засяга, дори никога да не си чувал думата.
Какво точно е PHP2Shell
Това са две грешки в самия PHP: CVE-2026-109618 и CVE-2026-109619. И двете са оценени с 9.2 от 10 по скалата за тежест CVSS. Накратко: нападателят праща заявка с особено подредени данни, PHP се обърква, докато я обработва, и в крайна сметка изпълнява команда по избор на нападателя.
Три неща я правят опасна за малките сайтове:
- Случва се преди кода на сайта. Грешката е в момента, в който PHP чете заявката, преди WordPress или плъгините да са направили каквото и да е. Паролата на админа, капчата и плъгинът за сигурност не стигат дотам.
- Атаките вече са тук. Според Datadog Security Labs първите опити за атака са засечени на 17.10, четири дни преди уязвимостта да бъде обявена. След обявяването сканиране на случаен принцип засяга всеки сайт, без значение дали е голям или малък.
- Няма заобиколен път. PHP казва изрично, че никоя настройка не затваря напълно уязвимостите. Затваря ги само обновяването.
Кои версии са поправени
| Клон на PHP | Поправена версия |
|---|---|
| 8.5 | 8.5.12 или по-нова |
| 8.4 | 8.4.27 или по-нова |
| 8.3 | 8.3.36 или по-нова |
| 8.2 | 8.2.35 или по-нова |
| 8.1, 8.0, 7.4 | няма нова официална версия, само поправки в кода, които хостингът трябва да вгради сам |
| 7.3 и по-стари (вкл. PHP 5) | няма поправка изобщо |
Последните два реда са по-важни, отколкото изглеждат. Много стари сайтове още работят на PHP 7.4 или дори 5.6, защото „работи, не го пипай". При тези версии решението е преминаване на поддържан клон, а не поправка.
Как да провериш сайта си за пет минути
Виж версията на PHP
WordPress: Инструменти → Здраве на сайта → Информация → Сървър. Търси реда „Версия на PHP".
Хостинг панел: в cPanel е в „Select PHP Version" или „MultiPHP Manager", в Plesk е в настройките на домейна, при „PHP Settings".
Сравни с таблицата
Ако версията е поправена или по-нова, тази конкретна врата е затворена. Ако е по-стара, не значи задължително, че си уязвим: някои хостинги и Linux дистрибуции вграждат поправката, без да сменят номера. Но това не можеш да го видиш сам, трябва да питаш.
Пиши на хостинга, с точния въпрос
Не „всичко наред ли е", а: „Сайтът ми е на PHP X.Y. Приложена ли е поправката за CVE-2026-109618 и CVE-2026-109619 (PHP2Shell)? Ако не, кога?" Добрият хостинг отговаря с дата. Ако отговорът е неясен, вземи го като знак.
Провери за следи
Ако сайтът е бил на стара версия между 17.10 и деня на обновяването, погледни за признаци на пробив: непознати файлове, нови администратори в WordPress, пренасочване към чужди сайтове, спам страници в Google. Как да намериш последните - в хакнат сайт: спам страници в Google.
Обновяването на WordPress не помага тук. Проблемът е в PHP, под WordPress. Можеш да имаш най-новия WordPress и всички плъгини обновени и пак да си уязвим, ако хостингът не е обновил PHP.
Ако хостингът ти е обновил PHP, а сайтът спря да работи
Случва се и обратното: хостингът слага новата версия и сайтът изведнъж показва бяла страница или „Error 500". Обикновено причината е, че сайтът е бил на много стара версия и при прехода някой плъгин или тема вече не вървят. Решението не е да се върнеш на старата версия - тя е тази с дупката. Решението е някой да оправи несъвместимия код.
Ако сайтът ти работи на собствен сървър, има и по-скучна причина: PHP е обновен, но уеб сървърът не е рестартиран и все още държи старата версия в паметта. Един пълен рестарт оправя и двете - и грешката, и защитата.
Какво направихме ние
Поправката беше инсталирана на 22.10, на следващия ден след обявяването, и е в сила за всички сайтове от сутринта на 23.10. След това направихме и проверка за пробив: сравнихме всеки файл на всеки сайт с нашето копие и прегледахме логовете на сървъра. Нищо не е променяно и няма следи от атака.
Тук няма магия, а просто начинът, по който е устроено. Всички сайтове са на една система, без плъгини от непознати автори, така че една поправка важи за всички наведнъж. Собственикът на салона не трябва да знае какво е PHP, за да е защитен. Ако сравняваш този подход с WordPress, честното сравнение е в Wix или WordPress за малък бизнес.
Каквото и да ползваш, въпросът от стъпка 3 си заслужава да го зададеш днес. Ако нямаш кого да питаш, това също е отговор.
Прочети също: Хакнат сайт: спам страници в Google · Wix или WordPress за малък бизнес · Конструктор, агенция или готова услуга
Сигурността не е твоя грижа
Обновяванията на сървъра, проверките и резервните копия правим ние, за всички сайтове наведнъж. Започни с безплатен сайт и виж демото, преди да платиш каквото и да е.
Безплатна консултация →