PHP2Shell (CVE-2026-109618 un CVE-2026-109619) ļauj uzbrucējam palaist kodu jūsu serverī bez pieteikšanās, un uzbrukumi jau notiek. Mēs pārbaudām jūsu vietni, skaidri pasakām, kāda ir situācija, un novērtējam labojuma cenu.
Audits tikai par 29 € + PVN, vienreizējs maksājums
Vēlaties pārbaudīt visu serveri? Pilns drošības audits par 199 € + PVN
PHP2Shell ir nosaukums divām kritiskām kļūdām pašā PHP dzinējā, kas publiskotas 2026. gada 20. oktobrī un labotas 21. oktobrī. Tā kā tās ir PHP, nevis WordPress, spraudnī vai jūsu kodā, ir apdraudēta katra vietne, kas darbojas ar ievainojamu PHP versiju, neatkarīgi no lietotnes.
Uzbrukums ir īpaši sagatavots HTTP pieprasījums. PHP to apstrādā pirms jebkāda jūsu lietotnes koda palaišanas, tāpēc paroles, CAPTCHA un drošības spraudņi to neaptur. Pētnieki apstiprinājuši attālinātu koda izpildi bez autentifikācijas WordPress, Drupal, Joomla un Magento vietnēs. Pirmie izmantošanas mēģinājumi reģistrēti 17. oktobrī, vēl pirms publiskas paziņošanas, un kopš tā laika uzbrukumu kļūst arvien vairāk.
Ja PHP pietrūkst atmiņas, vēl lasot POST pieprasījumu, paliek līdz galam neizveidots ieraksts. Pieprasījuma noslēgumā tas tiek uzskatīts par derīgu, bet tā saturu kontrolē uzbrucējs, un to var izmantot sava koda palaišanai.
Pēc viena pieprasījuma palikušie dati var norādīt uz jau atbrīvotu atmiņu, ko izmanto nākamais pieprasījums tajā pašā PHP procesā. Tas nopludina atmiņas saturu un var novest pie koda izpildes. Kļūda ir sasniedzama caur sesijas augšupielādes progresa funkciju, kas pēc noklusējuma ir ieslēgta.
Apdraudēta ir jebkura PHP instalācija, kas apkalpo tīmekļa pieprasījumus: PHP-FPM, Apache mod_php, php-cgi, LiteSpeed un FrankenPHP. Salīdziniet PHP versiju, kas faktiski apkalpo jūsu vietni, ar tabulu.
| PHP zars | Statuss | Droša versija |
|---|---|---|
| PHP 8.5 | Ievainojama līdz 8.5.12 | 8.5.12 vai jaunāka |
| PHP 8.4 | Ievainojama līdz 8.4.27 | 8.4.27 vai jaunāka |
| PHP 8.3 | Ievainojama līdz 8.3.36 | 8.3.36 vai jaunāka |
| PHP 8.2 | Ievainojama līdz 8.2.35 | 8.2.35 vai jaunāka |
| PHP 7.4 – 8.1 | Ievainojama, oficiāla labojuma nav (tikai pirmkoda labojumi) | Atjaunināt uz 8.2+ vai piegādātāja laboto pakotni |
| PHP 5.4 – 7.3 | Ievainojama, vairs netiek atbalstīta, labojuma nebūs | Nepieciešama atjaunināšana |
Versijas numurs vien var maldināt. Linux distributīvi bieži iekļauj labojumu, nemainot numuru, komandrindā redzamais PHP var atšķirties no tā, kas apkalpo vietni, bet koplietošanas hostingā vienlaikus var darboties vairākas versijas. Audits to pārbauda tieši jūsu vidē.
Jūsu vietni manuāli pārbauda inženieris, nevis automātisks skeneris, un jūs saņemat rakstisku ziņojumu saprotamā valodā.
Ievadiet vietnes domēnu un samaksājiet par izvēlēto auditu (29 € vai 199 € + PVN) ar karti, internetbankā, PayPal vai kriptovalūtā.
Inženieris sazinās 2 darba stundu laikā (P–Pk 9:00–18:00 Viļņas laiks) un vienojas par piekļuvi.
Saņemat secinājumus saprotamā valodā un aptuvenu labojuma cenu. Jūs izlemjat, vai labojam mēs.
Der jebkurai vietnei neatkarīgi no tā, kur tā tiek mitināta. Nav jābūt mūsu hostinga klientam.
Mērķtiecīga pārbaude attiecībā uz CVE-2026-109618 un CVE-2026-109619.
Viss, kas ietilpst PHP2Shell auditā, kā arī viss serveris un vietnes kods.
Katrs serveris ir atšķirīgs, tāpēc labojuma cena tiek noteikta individuāli. Pēc audita saņemat aptuvenu cenu, un darbu sākam tikai ar jūsu piekrišanu.
Jūsu hostingā PHP nevarat mainīt paši? Pateiksim, ko tieši lūgt piegādātājam, vai palīdzēsim pārcelties.
Vienīgais pilnīgais risinājums ir PHP atjaunināšana. Kamēr to nevarat izdarīt, PHP komanda iesaka pagaidu pasākumus:
memory_limit=-1 servera līmenī, lai lietotnes to nevarētu mainīt, un ierobežojiet pieprasījumu izmēru tīmekļa serverī vai starpniekserverī. Tas bloķē zināmo CVE-2026-109618 izmantošanas ceļu.session.upload_progress.enabled=0, bet PHP 8.5 arī fatal_error_backtraces=0 (CVE-2026-109619).WAF, piemēram, Cloudflare, palīdz pret zināmiem uzbrukumu modeļiem, bet tikai trafikam, kas iet caur to. Tas ir pagaidu līdzeklis, nevis labojums. Ja neesat pārliecināti, vai iestatījumi stājās spēkā vai vai kāds neielauzās agrāk, tieši to pārbauda audits.