Накратко: PHP уязвимостта, обяснена просто: PHP е софтуерът на уеб сървъра, който сглобява уебсайтовете в момента, в който някой ги отвори. При PHP2Shell в определени изключителни случаи PHP не почиства както трябва, и точно това нападателите могат да използват, за да изпълняват без парола собствени команди на сървъра. Помага актуализация на PHP със следващ рестарт, която по правило се инсталира от Вашия хостинг доставчик или от доставчика на услуги.
Защо точно сега всички говорят за PHP
В новините се говореше за „критична уязвимост в сигурността“, институции изключваха уебсайтове от мрежата, BSI (Федералната служба за информационна сигурност на Германия) предупреждаваше с ниво оранжево. За много собственици и служители това звучи заплашително и същевременно неразбираемо. Какво е PHP и защо това засяга именно фирмения ми уебсайт?
Тази статия обяснява ситуацията без жаргон. Който след това иска да навлезе по-дълбоко, ще намери техническата оценка в Какво е PHP2Shell?.
Какво всъщност прави PHP: картина от ежедневието
Представете си Вашия уебсайт като ресторант. Гостът е посетителят, поръчката е отварянето на страницата. PHP е кухнята: тя приема всяка поръчка, взема съставките от склада, тоест от базата данни, и сервира чинията, тоест готовата страница.
За да става бързо, кухнята има няколко готвачи, които един след друг изпълняват много поръчки. Специалистите ги наричат „worker“. След всяка поръчка работното място трябва да бъде напълно почистено, преди да дойде следващата.
Върху PHP работят много известни системи: WordPress, Shopware, TYPO3, Joomla, Nextcloud и безброй собствени разработки. Как принципно функционира PHP, обяснява статията Какво е PHP?.
PHP уязвимостта, обяснена просто: какво не е наред при PHP2Shell
PHP2Shell се състои от две грешки. И двете имат общо с почистването и и двете се проявяват само в изключителни ситуации.
Първата грешка (CVE-2026-109618): Понякога на кухнята ѝ свършва мястото по средата на приготвянето. Специалистите казват „Out of Memory“, паметта е пълна. Тогава работата се прекъсва, докато поръчката е готова едва наполовина. При следващото почистване PHP погрешно счита недовършени неща за готови.
Втората грешка (CVE-2026-109619): След една поръчка на работното място остава нещо, което всъщност вече е трябвало да е прибрано. Следващата поръчка при същия готвач може да го достигне, преди да бъде премахнато.
И в двата случая важи: който точно знае как да предизвика тази изключителна ситуация, може да накара кухнята да прави неща, които никога не са поръчвани. В най-лошия случай той поема контрола върху сървъра. Парола за това не му трябва. Как една заявка се обработва в PHP стъпка по стъпка, описва статията за жизнения цикъл на заявката.
Не е нужно да разбирате техниката, за да действате правилно. Решаващ е един-единствен въпрос към Вашия хостинг доставчик или доставчик на услуги: PHP на нашия сървър актуализиран ли е и рестартиран ли е, и можете ли да го потвърдите писмено?
Най-важните понятия накратко
| Понятие | Обяснено просто |
|---|---|
| PHP | софтуер на сървъра, който сглобява уеб страниците при отваряне |
| Уязвимост | грешка, която непознати могат да използват |
| Номер CVE | еднозначен в целия свят идентификационен номер на една уязвимост |
| CVSS 9,2 | степен на тежест по скала до 10; 9,2 се счита за критична |
| Remote Code Execution | непознати могат отдалечено да изпълняват собствени команди на сървъра |
| Shell | команден ред, с който може да се управлява сървър |
| Пач | актуализация, която отстранява грешката |
| Backport | поправка, вградена в по-стара версия, без да се променя номерът на версията |
| Рестарт | спиране на старите PHP процеси, за да работи наистина поправената версия |
Защо актуализацията, рестартът и проверката вървят заедно
Да останем при ресторанта. Актуализацията е нова работна инструкция за кухнята: ето как ще се почиства отсега нататък. Само че готвачите, които са в момента на смяна, продължават да работят по старата инструкция. Новата важи едва когато смяната се смени. Точно това е рестартът: всички стари PHP процеси се спират, нови стартират с поправената версия. Без рестарт актуализацията стои на сървъра, но не действа.
И още нещо показва картината. Една нова работна инструкция предотвратява бъдещи неприятности, но не казва нищо за това дали през дните преди това някой е бил незабелязано в кухнята и е скрил нещо. Затова след актуализацията е нужна проверка за следи, особено ако сървърът е бил достъпен във времето между 17 октомври и актуализацията.
Какво да направите сега: три типични изходни положения
Какво да се направи, зависи от това къде е Вашият уебсайт.
- Вашият уебсайт е при хостинг доставчик (споделен хостинг). Хостинг доставчикът по правило инсталира PHP актуализацията. Вашата задача: да изискате писмено потвърждение и да проверите в клиентското меню дали е зададена актуална PHP версия. Какво още е Ваша задача, пише в Споделен хостинг: какво прави хостинг доставчикът и какво трябва да направите Вие.
- Агенция или ИТ доставчик на услуги поддържа Вашия уебсайт. Попитайте там дали актуализацията е инсталирана и PHP е рестартиран, и поискайте кратка проверка за необичайни находки.
- Имате собствен сървър. Тогава отговорни сте Вие или Вашата ИТ: актуализирайте PHP, рестартирайте всички PHP процеси, запазете логове от 20 октомври и проверете за следи.
И в трите случая важи: актуализация на WordPress или на друга система на уебсайта не затваря уязвимостта. И актуализацията не доказва, че преди това нищо не е станало.
Как помага PHP SOS конкретно?
- Разбираемо обяснение: Казваме Ви с ясни думи дали и как са засегнати Вашите системи.
- Разговор с хостинг доставчика: При желание изясняваме състоянието на пача директно с Вашия хостинг доставчик или доставчик на услуги.
- Актуализиране и проверка: При собствени сървъри инсталираме актуализацията, рестартираме PHP и проверяваме за следи.
- Писмено фиксиране: Получавате кратка документация на състоянието.
Повече на Спешна помощ при PHP2Shell.
Заключение
PHP2Shell звучи сложно, но положението в същината си не е: кухнята на Вашия уебсайт в изключителни случаи не почиства както трябва, и това може да бъде използвано. Актуализацията поправя това. Вашата задача е да осигурите, че тя е инсталирана, активирана и доказана, и при съмнение да накарате да се провери дали преди това някой не е бил в кухнята.
Често задавани въпроси
Какво е PHP с прости думи?
PHP е програмен език, който работи на уеб сървъра. Когато отворите една страница, PHP я сглобява в този момент, например с актуални продукти, цени или Вашата кошница, и я изпраща към браузъра Ви.
Засегнат ли е моят уебсайт, ако ползвам WordPress?
WordPress работи с PHP, затова сървърът под него евентуално е засегнат. Дали Вашият уебсайт е изложен на риск, зависи от състоянието на PHP на сървъра, не от версията на WordPress. Попитайте хостинг доставчика или доставчика на услуги за PHP актуализацията.
Мога ли като посетител на уебсайт да съм изложен на риск?
Уязвимостта засяга сървъри, не компютрите на посетителите. Ако обаче един сървър бъде превзет, нападателите могат например да променят съдържание или да пренасочват посетители към чужди страници. Затова актуализацията е важна за операторите.
Какво означава името PHP2Shell?
То описва възможната последица: чрез PHP нападателят в най-лошия случай може да получи shell, тоест вид дистанционно управление на сървъра. Официалните означения са CVE-2026-109618 и CVE-2026-109619.