PHP2Shell (CVE-2026-109618 ir CVE-2026-109619) leidžia įsilaužėliui paleisti kodą jūsų serveryje net neprisijungus, o atakos jau vyksta. Patikriname jūsų svetainę, aiškiai pasakome, kokia situacija, ir įvertiname taisymo kainą.
Auditas tik už 29 € + PVM, vienkartinis mokėjimas
Norite patikrinti visą serverį? Pilnas saugumo auditas už 199 € + PVM
PHP2Shell – tai dviejų kritinių pačio PHP variklio spragų pavadinimas. Jos paskelbtos 2026 m. spalio 20 d., o pataisos išleistos spalio 21 d. Kadangi spragos yra PHP, o ne WordPress, įskiepyje ar jūsų kode, pažeidžiama kiekviena svetainė, veikianti su nepataisyta PHP versija, nepriklausomai nuo to, kokia sistema ji sukurta.
Ataka – tai specialiai paruošta HTTP užklausa. PHP ją apdoroja dar prieš paleisdamas bet kokį jūsų svetainės kodą, todėl slaptažodžiai, CAPTCHA ar saugumo įskiepiai jos nesustabdo. Tyrėjai patvirtino nuotolinį kodo vykdymą be prisijungimo WordPress, Drupal, Joomla ir Magento svetainėse. Pirmieji išnaudojimo bandymai užfiksuoti spalio 17 d., dar prieš viešą paskelbimą, ir nuo tada atakų daugėja.
Kai PHP pritrūksta atminties dar skaitydamas POST užklausą, lieka iki galo nesukurtas įrašas. Užklausos pabaigoje PHP jį laiko tvarkingu, o jo turinį valdo įsilaužėlis. Tai galima išnaudoti savo kodui paleisti.
Po vienos užklausos likę duomenys gali rodyti į jau atlaisvintą atmintį, o vėlesnė užklausa tame pačiame PHP procese ją panaudoja. Taip nutekinamas atminties turinys ir galima paleisti kodą. Spraga pasiekiama per sesijos įkėlimo eigos funkciją, kuri įjungta pagal nutylėjimą.
Pažeidžiamas bet koks PHP, aptarnaujantis interneto užklausas: PHP-FPM, Apache mod_php, php-cgi, LiteSpeed ir FrankenPHP. Palyginkite PHP versiją, kuri iš tiesų aptarnauja jūsų svetainę, su lentele.
| PHP šaka | Būsena | Saugi versija |
|---|---|---|
| PHP 8.5 | Pažeidžiama iki 8.5.12 | 8.5.12 ar naujesnė |
| PHP 8.4 | Pažeidžiama iki 8.4.27 | 8.4.27 ar naujesnė |
| PHP 8.3 | Pažeidžiama iki 8.3.36 | 8.3.36 ar naujesnė |
| PHP 8.2 | Pažeidžiama iki 8.2.35 | 8.2.35 ar naujesnė |
| PHP 7.4 – 8.1 | Pažeidžiama, oficialios pataisos nėra (tik pataisos išeities kodui) | Atnaujinti į 8.2+ arba tiekėjo pataisytą paketą |
| PHP 5.4 – 7.3 | Pažeidžiama, nebepalaikoma, pataisos nebus | Būtina atnaujinti |
Vien versijos numeris gali klaidinti. Linux distribucijos dažnai įdiegia pataisą nepakeisdamos numerio, komandinėje eilutėje matomas PHP gali skirtis nuo to, kuris aptarnauja svetainę, o bendrame hostinge vienu metu gali veikti kelios versijos. Auditas tai patikrina būtent jūsų aplinkoje.
Jūsų svetainę rankiniu būdu tikrina inžinierius, ne automatinis skeneris, o rezultatus gaunate raštu, suprantama kalba.
Įrašote svetainės domeną ir sumokate už pasirinktą auditą (29 € arba 199 € + PVM) kortele, per elektroninę bankininkystę, PayPal ar kriptovaliuta.
Inžinierius susisiekia per 2 darbo valandas (I–V 9:00–18:00) ir suderina prieigą.
Gaunate išvadas suprantama kalba ir apytikslę taisymo kainą. Ar taisome mes, sprendžiate jūs.
Tinka bet kuriai svetainei, nesvarbu, kur ji talpinama. Nebūtina būti mūsų hostingo klientu.
Tikslinis patikrinimas dėl CVE-2026-109618 ir CVE-2026-109619.
Viskas, kas įeina į PHP2Shell auditą, ir dar visas serveris bei svetainės kodas.
Kiekvienas serveris skirtingas, todėl taisymo kaina skaičiuojama individualiai. Po audito gaunate apytikslę kainą, o darbus pradedame tik jums sutikus.
Jūsų hostinge PHP pakeisti negalite patys? Tiksliai pasakysime, ko prašyti tiekėjo, arba padėsime persikelti.
Vienintelis visiškas sprendimas – atnaujinti PHP. Kol to padaryti negalite, PHP komanda rekomenduoja laikinas priemones:
memory_limit=-1 serverio lygiu, kad programos negalėtų jo pakeisti, ir apribokite užklausų dydį interneto serveryje ar proxy. Tai blokuoja žinomą CVE-2026-109618 išnaudojimo būdą.session.upload_progress.enabled=0, o PHP 8.5 – ir fatal_error_backtraces=0 (CVE-2026-109619).WAF, pvz., Cloudflare, padeda prieš žinomus atakų šablonus, bet tik tam srautui, kuris per jį eina. Tai laikina priemonė, o ne pataisa. Jei nesate tikri, ar nustatymai įsigaliojo, ar kas nors neįsilaužė anksčiau, būtent tai ir patikrina auditas.