Иллюстрация критических уязвимостей PHP с символом слона, вебсайтом, серверами, вредоносными программами и сломанным щитом безопасности.
Угроза безопасности вебсайтов на PHP

Владельцам сайтов на WordPress, Joomla, Drupal и других платформах, работающих на PHP, стоит внимательно отнестись к свежему предупреждению экспертов по кибербезопасности. В популярном языке программирования нашли сразу две критические бреши. Из-за них злоумышленники потенциально могут добраться до серверов, вытащить оттуда данные или устроить хаос на сайтах.

О серьёзной угрозе одной из первых громко заявила европейская команда реагирования на компьютерные инциденты CERT-EU. Ситуация действительно острая: ресурсы, которые не смогут оперативно защититься, советуют вообще временно отключить от интернета. Команда PHP уже готовит патчи, но сидеть сложа руки и ждать у моря погоды – не лучшая идея.

Что известно о новых уязвимостях

Две новые проблемы зарегистрировали под номерами CVE-2026-109618 и CVE-2026-109619. Обе получили оценку 9,2 из 10 по шкале CVSS 4.0 – показатель говорит сам за себя.

По данным CERT-EU, эти уязвимости позволяют удалённо выполнять вредоносный код без какой-либо авторизации. То есть хакеру не нужен логин или пароль администратора, чтобы попытаться провернуть свои команды на сервере.

Технические детали разработчики пока не выкладывают, да и полного списка уязвимых сборок ещё нет. Предварительно под ударом могут оказаться чуть ли не все версии, начиная с PHP 5. Конечно, это не значит, что каждый второй сайт уже взломали – реальные риски сильно зависят от конфигурации. Но масштаб такой, что проверяться придётся всем.

Каким сайтам стоит опасаться в первую очередь

PHP крутится на сервере и тянет на себе весь базовый функционал: от обработки форм и авторизации до связи с базами данных. На нём держится большая часть веба, включая гигантов на WordPress, Joomla, Drupal и Magento. Так что предупреждение касается и крупных медиа, и обычных корпоративных сайтов или крошечных интернет-магазинов.

Особая зона риска – старые проекты, в которые годами никто не заглядывал. Можно до посинения обновлять плагины в том же WordPress, но при этом гонять устаревшую версию PHP на самом сервере. Это разные вещи, и обновление движка тут не спасёт.

Чем это грозит на практике

Самое неприятное – риск выполнения стороннего кода. Если атаку пропустят, последствия окажутся куда серьёзнее банального падения сайта.

Злоумышленник может подправить содержимое страниц, слить базу данных или раскидать по серверу шеллы. Для магазина это прямая дорога к утечке клиентских данных, для компании – компрометация внутренних документов. А в худшем сценарии под удар попадёт вся серверная инфраструктура. Кстати, специалисты Cloudflare и Huntress уже заметили первые тревожные звоночки и попытки сканирования, так что расслабляться точно рано.

Когда ждать решения и что делать

Команда PHP готовит обновления уже на 21 октября 2026 года. Впрочем, само появление патчей проблему автоматически не решит – за угрозой придётся следить и дальше, ведь любая необновлённая система остаётся под ударом.

Отдельная головная боль – старые версии PHP, поддержка которых давно закончилась. Для них обновлений безопасности уже не будет, так что придётся планировать переход на актуальные версии.

С чего начать проверку:

  • Узнайте версию PHP. Всё просто, если у вас обычная панель вроде cPanel или Plesk. На VPS придётся смотреть через консоль или спрашивать у хостера.
  • Сделайте бэкапы. Перед любыми изменениями обязательно сохраните и файлы, и базу. Старый код на новом PHP может повести себя непредсказуемо.
  • Следите за логами. Пока патчей нет, отслеживайте подозрительные запросы и проверьте, работают ли ваши резервные копии.
  • Подумайте об изоляции. Если обновиться мгновенно не получается, а риски высокие, иногда проще временно закрыть доступ к критическим разделам, чем потом разгребать последствия взлома.