21 октября 2026 года были опубликованы подробности двух критических уязвимостей PHP — CVE-2026-109618 и CVE-2026-109619, известных под общим названием PHP2Shell. Обе получили оценку 9,2 из 10 по шкале CVSS v4.0. При определенных условиях они позволяют злоумышленникам удаленно выполнять код на сервере без авторизации.
Проблемы связаны с обработкой памяти в самом PHP — среде, на которой работают WordPress, Drupal, Joomla и многие другие системы управления сайтами и веб-приложений. Поэтому даже актуальная CMS с обновленными плагинами может оставаться под угрозой, если сервер использует PHP без соответствующих исправлений.
Успешная эксплуатация уязвимостей может привести к краже данных, изменению файлов сайта или нарушению его работы. Возможности злоумышленника зависят от конфигурации сервера и прав процесса, который выполняет PHP.
Подробное описание уязвимостей, перечень пораженных версий PHP и рекомендации по защите опубликованы в официальном сообщении CERT-EU.
Как только стало известно о угрозе, мы ограничили работу части функционала, чтобы уменьшить риски для клиентов. Массового отключения сайтов не применяли. После появления исправленных пакетов мы установили необходимые обновления.
В настоящее время на серверах виртуального хостинга Cityhost установлены исправления для всех доступных версий PHP — от 5.2 до 8.5. Клиентам виртуального хостинга не нужно самостоятельно устанавливать эти серверные обновления.
На наших серверах используется CloudLinux, который переносит исправления безопасности в существующие версии PHP. Благодаря этому можно устранить уязвимости без принудительного перевода сайтов на другую ветку интерпретатора.
Поэтому номер PHP в панели управления может отличаться от номера исправленного релиза, указанного на сайте PHP. Это не означает, что исправления отсутствуют: они содержатся в обновленном пакете CloudLinux, хотя основной номер версии остается прежним.
Обратите ВНИМАНИЕ! Владельцам VPS/VDS и выделенных серверов необходимо позаботиться об обновлении самостоятельно или поручить его администратору. Обновление серверов виртуального хостинга не распространяется на эти услуги. Ниже приводим порядок действий для Linux-серверов.
Что нужно сделать владельцам VPS/VDS и выделенных серверов
На VPS/VDS и выделенных серверах обновление программного обеспечения выполняет владелец или администратор сервера. Если ваши сайты используют PHP, необходимо проверить наличие исправлений для CVE-2026-109618 и CVE-2026-109619, установить их и перезапустить соответствующие службы.
Ниже приведен порядок действий для Linux-серверов, на которых PHP установлен через системный менеджер пакетов. Для PHP в контейнерах, установленного вручную или через отдельные репозитории панели управления, нужно дополнительно проверить процедуру обновления его поставщика.
1. Создайте резервную копию
Перед обновлением сохраните резервные копии файлов сайтов, баз данных и конфигураций сервера. Убедитесь, что копирование завершилось без ошибок, а резервные копии доступны для восстановления.
2. Подключитесь к серверу через SSH
Откройте терминал и выполните:
ssh USER@SERVER_IP
Вместо USER укажите свой логин, а вместо SERVER_IP — IP-адрес сервера. Для подключения через нестандартный порт:
ssh -p PORT USER@SERVER_IP
Замените PORT номером SSH-порта.
Для установки обновлений нужны права root или sudo. Если вы работаете под root, префикс sudo в следующих командах можно не добавлять.
3. Проверьте операционную систему и версию PHP
Чтобы определить дистрибутив Linux, выполните:
cat /etc/os-release
Текущую консольную версию PHP можно проверить командой:
php -v
Обратите внимание: PHP в консоли и PHP, который обслуживает сайт, могут отличаться. Если на сервере установлено несколько версий, проверить нужно все, которые используются сайтами.
4. Установите доступные обновления
Выберите команды в зависимости от операционной системы.
Для Ubuntu или Debian сначала обновите информацию о доступных пакетах:
sudo apt update
Затем установите обновления:
sudo apt upgrade
Для AlmaLinux, Rocky Linux или RHEL:
sudo dnf upgrade --refresh
Эти команды обновляют не только PHP, но и другие системные пакеты. Просмотрите предложенный список и подтвердите установку. Дождитесь завершения операции. Если появились ошибки репозиториев, зависимостей или установки пакетов, сначала нужно устранить их.
5. Перезагрузите сервер
После успешной установки обновлений необходимо перезапустить процессы, которые используют PHP. Простой способ охватить все системные службы — перезагрузить сервер:
sudo reboot
SSH-соединение закроется, а сайты будут временно недоступны. Дождитесь запуска сервера и подключитесь повторно.
Вместо полного перезагрузки администратор может перезапустить соответствующие PHP-FPM, Apache или другие службы — в зависимости от конфигурации сервера.
6. Проверьте установленные пакеты и работу сайтов
Для Ubuntu/Debian просмотрите полные версии установленных PHP-пакетов:
dpkg -l | grep -E '^ii[[:space:]]+(php|libapache2-mod-php)'
Для AlmaLinux/Rocky Linux/RHEL:
rpm -qa | grep -E '^php'
Сопоставьте полученные версии с сообщением об исправлении от поставщика пакетов. Отсутствие доступных обновлений само по себе не подтверждает устранение уязвимостей.
Дистрибутивы Linux могут добавлять исправления безопасности в существующие версии PHP. Поэтому основной номер интерпретатора может остаться прежним — значение имеет полная версия пакета и подтверждение наличия патчей.
После обновления откройте сайты и проверьте их основные функции: вход в административную часть, формы, загрузку файлов, работу с базой данных и оформление заказов.
Если исправления для вашей версии PHP недоступны, обратитесь к администратору сервера, чтобы организовать переход на поддерживаемую версию или получить исправленный пакет от поставщика. Не откладывайте устранение этих уязвимостей.
Обратите внимание: инструкция содержит общий порядок обновления. Команды, названия пакетов и служб могут отличаться в зависимости от операционной системы, способа установки PHP и конфигурации сервера.
