Обобщение на ClearlyPro по публичните материали на Tenable, Cloudflare и SOCRadar (линкове в края). Към 13.11.2026.
Какво се случи
На 21 октомври 2026 г. PHP публикува корекции на две критични уязвимости в самия език, известни като PHP2Shell: CVE-2026-109618 и CVE-2026-109619. И двете са с оценка 9.2 по CVSS 4.0. Нападател без парола и без акаунт може да изпрати специално подготвена HTTP заявка и да изпълни свой код на сървъра, да срине PHP процеса или да прочете чужди данни от паметта.
- CVE-2026-109618: когато PHP остане без памет по средата на обработката на заявка, при почистването използва недовършени данни, все едно са валидни.
- CVE-2026-109619: след фатална грешка остава препратка към вече освободена памет. Следваща заявка към същия процес може да я използва (use-after-free).
Използва ли се вече?
Да. Опити за атака са засечени дори 4 дни преди публичното обявяване. Няколко дни по-късно има потвърдени успешни пробиви на тестови сървъри с PHP 8.4.26. На 26 октомври американската агенция CISA вписа двете уязвимости в каталога си на активно експлоатирани уязвимости.
Кои сайтове са засегнати
Засегнат е всеки сайт, който работи на PHP 5.4 или по-нова версия и не е обновен. Това важи за WordPress, WooCommerce, Magento, Joomla и почти всеки споделен хостинг. Начинът, по който работи PHP (PHP-FPM, Apache mod_php, CGI, LiteSpeed), не дава защита.
Важно: обновяването на WordPress, плъгините или темата не поправя уязвимостта. Трябва да се обнови самият PHP на сървъра.
| Клон на PHP | Безопасна версия |
|---|---|
| 8.5 | 8.5.12 или по-нова |
| 8.4 | 8.4.27 или по-нова |
| 8.3 | 8.3.36 или по-нова |
| 8.2 | 8.2.35 или по-нова |
| 7.4 – 8.1 | няма официална версия, само корекции в изходния код; препоръчва се преминаване към 8.3+ |
| 5.4 – 7.3 | без корекция, нужна е миграция |
Какво да направите
- Проверете версията на PHP. В WordPress: Инструменти → Състояние на сайта → Информация → Сървър. В cPanel/Plesk: настройките за PHP.
- Обновете PHP до версия от таблицата. Ако хостингът управлява PHP, поискайте от него обновяването. После рестартирайте PHP процесите, защото работещите процеси държат стария код в паметта.
- Временна защита, докато обновите. Не замества обновяването.
session.upload_progress.enabled = 0блокира потвърдения път за CVE-2026-109619.- Ако сайтът е зад Cloudflare, правилата на WAF блокират известните атаки. Включени са и в безплатния план.
- Тествайте след обновяването. Версии 8.4.27 и 8.5.12 имат известен проблем (php-src #24488), който може да срине приложения, ползващи SimpleXML.
Има и свързана, по-лека уязвимост, CVE-2026-115560, също в „session upload progress“. Тя засяга и вече обновените версии и ще бъде поправена в следваща редовна версия. Затова изключването на session.upload_progress е разумно и след обновяване.
Можем да помогнем
Ако не сте сигурни на каква версия на PHP работи сайтът ви, или искате да обновим PHP, WordPress, плъгините и темата наведнъж с резервно копие и проверка за зловреден код, пишете ни. Безплатният ни одит показва какво се вижда отвън.