PHP2Shell: обнови PHP веднага, ако имаш сайт на WordPress

Накратко

Wiz Research, с помощта на водещи AI модели, откри критични пробиви в самия PHP – езика зад WordPress, Drupal и Joomla.
Два CVE-та, тежест до CVSS 9.2, засегнати са всички версии на PHP назад до 5.4. Поправени са в PHP 8.5.12, 8.4.27, 8.3.36 и 8.2.35.
Поправката ти струва €0 – едно обновяване на PHP. Хакнат магазин ти струва дни продажби.

Ако имаш сайт на WordPress, това е за теб. Фирмата за сигурност Wiz разкри PHP2Shell: пробиви в самия PHP, през които атакуващ може да превземе сървъра, без да влиза с парола. Не е лош плъгин. Не е слаба парола. Самият PHP.

Какво се случи

На 21 октомври PHP пусна обновления за сигурност, а Wiz Research публикува детайлите. Пробивите са CVE-2026-109618 и CVE-2026-109619, с тежест до CVSS 9.2. Според Wiz всяка версия на PHP от последното десетилетие е засегната от поне един от тях – чак до PHP 5.4.

Какво може да направи атакуващият? Да пусне код на сървъра ти без парола. Wiz го показа на най-новите WordPress, Drupal и Joomla. Показа и как може да се чете паметта на сървъра – там, където стоят пароли, токени и API ключове. Дори обикновена страница „Hello World“ на уязвима версия може да е изложена.

Истинската новина е AI-ят. Грешките са стояли в кода на PHP повече от десет години. Да ги превърнеш в работеща атака беше твърде сложно за почти всеки човек. С Gemini 4 Argon, GPT-5.6 Sol и собствения си Wiz Atlas един изследовател е свършил за седмица това, което според Wiz би отнело месеци на екип от световна класа.

Как да го използваш (какво да направиш днес)

Провери версията на PHP. В WordPress: Инструменти → Здраве на сайта → Информация → Сървър. Или в хостинг панела.
Обнови PHP. Безопасни версии: 8.5.12, 8.4.27, 8.3.36, 8.2.35 или по-нови. На споделен хостинг често е едно кликване в cPanel.
Питай хостинга писмено. „Инсталирани ли са поправките за PHP2Shell (CVE-2026-109618 и CVE-2026-109619) на моя сървър?“ Искай „да“ или дата.
На PHP 8.1 или по-стар си? PHP вече не пуска обновления за тях. Мини на поддържана версия или провери дали хостингът или Linux доставчикът ти е пуснал поправка.
След обновяването смени ключовете. Щом паметта е можела да изтече, смяната на админ пароли и платежни/API ключове е евтина застраховка.

Обновяването на плъгините няма да помогне. Само плъгин за сигурност – също. Проблемът е под приложението ти – затваря го само обновен PHP.

Сметката: поправката струва €0 и десет минути. Сега другата страна – пример, сложи своите числа. Малък онлайн магазин с €300 оборот на ден не работи 3 дни: €900 загуба. Плюс фрийлансър да изчисти хака, да кажем €300. Това са €1 200 за един инцидент – без изгубеното доверие на клиентите и изтеклите данни.

Какво означава

Wiz сравнява PHP2Shell с Heartbleed и Log4Shell. Страшното не е този бъг – а моделът. AI прави стари пробиви, „твърде трудни за използване“, напълно практични. Същите инструменти вече работят и за атакуващите.

Добрата новина: AI го намери пръв, а индустрията закърпи преди детайлите да станат публични. Cloudflare, AWS, Google, Microsoft и Automattic подготвиха защити. Но поправката помага само ако някой я инсталира. Този някой си ти или хостингът ти.

Мнението на Иван

Без паника – обнови. Моите магазини също са на WordPress, така че това ми е първа задача днес. Десет минути и един имейл до хостинга са най-евтината застраховка, която ще купиш. И запомни урока: щом AI намира пробиви толкова бързо, „ще обновя после“ вече не е стратегия.

Източници: Wiz Research · PHP.net

За автора

Ivan Ivanov

Основател на