Уязвимость PHP: как проверить сайт по совету ФБР

Проверено 4 ноября 2026 года

ФБР предупредило о двух критических уязвимостях в ядре PHP. Обновления безопасности уже доступны, и ведомство советует установить их немедленно. Владельцу малого бизнеса в первую очередь нужно выяснить у хостинга или подрядчика, где на его сайте работает PHP, какая версия установлена и поставлено ли исправление. Если обновить затронутую систему сразу нельзя, ФБР рекомендует отключить её от сети до полного устранения проблемы.

Не нужно определять риск по внешнему виду сайта. Попросите технического исполнителя дать конкретный ответ о версии PHP, дате установки исправления и проверке журналов сервера. Если сайт размещён на управляемом хостинге, эти действия может выполнять провайдер, но владельцу бизнеса всё равно нужен подтверждённый результат.

О чём предупредило ФБР?

23 октября 2026 года ФБР выпустило предупреждение I-102326-PSA о критических уязвимостях PHP. До этого, 21 октября 2026 года, ведомство уже предупреждало об этом в социальных сетях. В предупреждении на ic3.gov PHP описан как широко используемый язык программирования, на котором работают сайты и веб-приложения.

Речь идёт об уязвимостях CVE-2026-109618 и CVE-2026-109619. По данным ФБР, они могут позволить злоумышленникам удалённо выполнить свой код в ядре PHP, проникнуть в системы и поставить под угрозу важные данные, сети и работу бизнеса.

Что означают основные слова?

PHP здесь означает программную основу, которая обрабатывает часть работы сайта. Уязвимость означает недостаток в этой основе, через который, по описанию ФБР, чужой код может быть выполнен удалённо. Обновление безопасности исправляет такой недостаток. ФБР сообщает, что обновления уже есть и их нужно установить немедленно.

Хостингом обычно называют компанию и серверную среду, где размещён сайт. Журналы сервера, или логи, это записи событий веб-сервера и PHP. ФБР просит сохранить эти записи, если обнаружены признаки взлома, потому что они относятся к происходившему на затронутой системе.

Затронут ли сайт моего малого бизнеса?

Ответ зависит не от размера компании и не от названия сайта, а от того, где PHP обрабатывает веб-запросы и какая версия установлена. Многие сайты малого бизнеса используют PHP через WordPress, хостинг или работу подрядчика. Предупреждение ФБР не называет WordPress, конкретные CMS или хостинговые компании, поэтому проверять нужно фактическую серверную установку.

ФБР советует владельцам бизнеса и сайтов проверить, затронуты ли их системы. Оно также просит составить перечень всех мест, где работает PHP, отдавая приоритет системам, доступным из интернета, и продуктам поставщиков со встроенным PHP. Для небольшого бизнеса такой перечень может начинаться с основного сайта, формы записи, интернет-магазина и других веб-приложений, о которых нужно спросить технического исполнителя.

Что добавляет CERT-EU?

Бюллетень CERT-EU 2026-018, на который ссылается ФБР, сообщает, что команда PHP выпустила исправления 21 октября 2026 года в версиях 8.5.12, 8.4.27, 8.3.36 и 8.2.35. Эти номера нужны как ориентир в разговоре с хостингом. Они не показывают автоматически, какая версия стоит именно на вашем сайте.

По данным CERT-EU, под угрозой находится любая установка PHP, которая обслуживает веб-запросы, включая PHP-FPM, Apache с mod_php, php-cgi, FrankenPHP и LiteSpeed. Владелец бизнеса не обязан различать эти варианты, но может попросить хостинг назвать используемый вариант и подтвердить установку исправления.

CERT-EU также пишет, что технические подробности обсуждаются публично и начали распространяться первые демонстрационные эксплойты. По оценке CERT-EU, это повышает вероятность того, что злоумышленники уже используют уязвимости. CISA, американское агентство по кибербезопасности, на каталог которого ссылается ФБР, 26 октября 2026 года внесла обе уязвимости в список уязвимостей, которые уже используются в атаках. Бюллетень CERT-EU советует немедленно установить исправления, а если это невозможно, отключить доступные из интернета приложения от публичных сетей до установки и проверки исправления.

Что сделать первым делом?

ФБР рекомендует четыре действия для затронутых систем:

1. Обновить PHP. Немедленно установить исправление в затронутых установках по инструкции на сайте php.net.
2. Изолировать то, что пока нельзя обновить. Если немедленное обновление невозможно, отключить систему от сети до полного устранения проблемы.
3. Составить список. Найти все места, где работает PHP, сначала системы, открытые в интернет, затем продукты поставщиков со встроенным PHP.
4. Следить за сервером. Проверять подозрительную активность, включая случаи, когда процессы PHP неожиданно запускают командную оболочку или скачивают файлы.

Владельцу бизнеса первым делом стоит позвонить тому, кто отвечает за сервер: хостингу, веб-студии, штатному специалисту или подрядчику. Попросите не общий ответ о безопасности сайта, а подтверждение по конкретной установке PHP.

Как узнать версию PHP на сайте?

Практичный путь для нетехнического владельца в рамках этого предупреждения: запросить версию у хостинга или подрядчика и попросить сверить её с исправленными версиями из бюллетеня CERT-EU. Проверяйте серверный PHP отдельно от обновлений WordPress и изменений внешнего вида сайта.

Попросите ответить письменно: какая ветка и версия PHP обслуживает веб-запросы, относится ли она к исправленному выпуску своей ветки по бюллетеню CERT-EU и когда была проведена проверка.

Что спросить у хостинга или подрядчика?

Этот список составлен как практическое продолжение шагов ФБР. Его можно отправить одним сообщением:

• Где именно в нашей среде работает PHP и какие из этих систем доступны из интернета?
• Какая версия PHP сейчас обрабатывает веб-запросы нашего сайта?
• Совпадает ли установленная версия с исправленным выпуском своей ветки по списку CERT-EU?
• Когда было установлено обновление и как вы проверили, что оно применяется?
• Есть ли продукты поставщиков, в которые PHP встроен отдельно от основного сайта?
• Проверялись ли журналы веб-сервера и PHP на неожиданное создание командных оболочек или скачивание файлов?
• Сохранены ли журналы на случай, если обнаружатся признаки взлома?
• Каков план изоляции сайта или приложения, если исправление пока поставить нельзя?

Хороший ответ содержит версию, перечень проверенных систем, статус исправления и результат просмотра журналов. Фраза «всё обновлено» без указания, что проверялся именно PHP, не отвечает на вопрос из предупреждения ФБР.

Что делать, если обновиться сразу нельзя?

ФБР рекомендует отключить затронутую систему от сети до полного устранения проблемы. CERT-EU даёт близкий совет для приложений, доступных из интернета: убрать их из публичных сетей, пока исправление не установлено и не проверено. Решение об отключении должен выполнить человек, который управляет сервером и понимает, какие части сайта будут недоступны.

Попросите подрядчика зафиксировать, что именно отключено, какие исправления ещё нужны и при каком условии система вернётся в интернет. Это помогает владельцу бизнеса отделить временную меру от завершённого обновления.

Как сохранить связь с клиентами?

Если сайт пришлось временно отключить, SkyAria Voice Assistant может отвечать на входящие звонки бизнеса круглосуточно, понимать запрос, записывать на приём и передавать команде письменный контекст, работая с существующим номером бизнеса.

Что делать, если сайт, похоже, взломали?

При признаках взлома ФБР просит изолировать затронутые системы, сохранить журналы веб-сервера и PHP и сообщить о случившемся в местное отделение ФБР или через ic3.gov. Не удаляйте журналы, которые ведомство прямо просит сохранить. Передайте техническую работу специалисту, отвечающему за сервер.

Предупреждение называет примерами подозрительной активности процессы PHP, которые неожиданно запускают командную оболочку или скачивают файлы. Факт такого события должен проверять технический специалист по журналам и состоянию сервера. Эта статья даёт общую информацию и не заменяет профессиональную консультацию по безопасности или юридическую консультацию.

Где следить за обновлениями?

Для свежей информации ФБР направляет читателей к объявлению команды PHP на сайте php.net, бюллетеню CERT-EU 2026-018 и каталогу известных эксплуатируемых уязвимостей CISA. Это три места, которые можно попросить отслеживать вашего хостера или подрядчика.

На сайте PATech Labs есть и другие материалы о других предупреждениях для бизнеса: о мошенничестве вокруг выборов, о звонках от имени полиции и о мошенниках, которые выдают себя за компании в рекламе. Эти страницы не посвящены PHP, но помогают распознавать другие цифровые риски.

Частые вопросы об уязвимости PHP

Достаточно ли обновить WordPress?

Предупреждение ФБР относится к ядру PHP. Оно не утверждает, что обновление WordPress обновляет PHP. Попросите хостинг или подрядчика отдельно назвать серверную версию PHP и подтвердить установку исправления.

Можно ли понять по работе сайта, что исправление установлено?

Внешний вид и обычная загрузка страниц не дают ответа на вопрос, какая версия PHP обслуживает веб-запросы. Нужны сведения от того, кто управляет сервером, и сверка с версиями, которые CERT-EU называет исправленными.

Подтверждены ли атаки через эти уязвимости?

Да: CISA 26 октября 2026 года внесла обе уязвимости в свой каталог уязвимостей, которые уже используются в атаках. ФБР пишет, что злоумышленники могут использовать уязвимости. CERT-EU сообщает о публичном обсуждении технических деталей и первых демонстрационных эксплойтах, что, по его оценке, повышает вероятность того, что злоумышленники уже используют уязвимости.

Что сохранить при подозрении на взлом?

ФБР прямо просит сохранить журналы веб-сервера и PHP, изолировать затронутые системы и сообщить в местное отделение ФБР или на ic3.gov. Попросите подрядчика не стирать эти записи во время первичной проверки.

Главное действие для владельца малого бизнеса простое: получить от хостинга или подрядчика точную версию PHP, подтверждение исправления и результат проверки журналов. Если исправление нельзя поставить немедленно, следуйте совету ФБР и CERT-EU об изоляции затронутой системы до устранения проблемы.