Две критические уязвимости в PHP. Закроем их на вашем сайте за 24 часа.
Уязвимости PHP2Shell позволяют выполнить код на сервере без логина и пароля. Под угрозой сайты на «1С-Битрикс», WordPress, Drupal, Magento, Joomla и самописные проекты. Обновление CMS не помогает: обновлять нужно сам PHP.
Ошибка в самом интерпретаторе, а не в плагине
PHP обслуживает около трёх четвертей сайтов с известной серверной технологией. Уязвимый код существует с версии 5.4, то есть больше десяти лет. Атакующему достаточно отправить специально сформированный HTTP-запрос.
Сбой при нехватке памяти
Если память кончается в момент разбора запроса, PHP затем работает с недоинициализированными данными. Результат: выполнение произвольного кода.
Обращение к освобождённой памяти
Остатки предыдущего запроса доступны следующему в том же процессе. Через это читают пароли от базы, токены, ключи API и выполняют команды.
Любой режим запуска PHP
Apache с mod_php (наибольший риск: атака срабатывает до запуска кода сайта), PHP-FPM, php-cgi, LiteSpeed, FrankenPHP.
| Ветка PHP | Статус | Что делать | Мы поможем |
|---|---|---|---|
| 8.2 – 8.5 | есть патч | Обновить до 8.2.35, 8.3.36, 8.4.27 или 8.5.12 и перезапустить все PHP-процессы | Установим патч, перезапустим PHP и проверим сайт за 24 часа |
| 7.4 – 8.1 | нет релиза | Только исправления исходного кода и сборки от поставщиков ОС. Нужна проверенная сборка или переход на 8.2+ | Подберём и установим сборку с исправлениями или перенесём сайт на PHP 8.3 |
| 5.4 – 7.3 | исправлений не будет | Изоляция сервера и миграция кода на поддерживаемую версию PHP | Изолируем сервер за 24 часа и перенесём сайт на новую версию PHP |
- 19.08.2026
Исследователи Wiz находят первые уязвимости
- 24.08.2026
Сведения переданы команде PHP
- 20.10.2026
Информация утекает в сеть до согласованной даты
- 21.10.2026, 14:00 UTC
Выходят исправленные версии PHP
- 21.10.2026
Cloudflare видит первые атаки. Нидерланды, Финляндия, Франция, Дания временно отключают госсайты
Взлом сайта сегодня обходится дороже, чем вызов администратора
Злоумышленник получает права веб-сервера. Дальше всё зависит от того, что лежит рядом с сайтом: база клиентов, интеграция с 1С, платёжный модуль, доступ во внутреннюю сеть.
Утечка персональных данных
Оборотные штрафы: от 3 до 15 млн ₽ за первую утечку в зависимости от числа записей, повторная до 3% выручки (не меньше 20 млн ₽). Ещё 1–3 млн ₽ за неуведомление Роскомнадзора в течение 24 часов.
Простой сайта
Даже превентивное отключение стоит выручки. Интернет-магазин с оборотом 30 млн ₽ в месяц теряет около 1 млн ₽ за сутки без продаж.
Кража секретов из памяти
Пароли к базе, ключи платёжного шлюза, токены обмена с 1С и CRM. Если атака была до патча, ключи нужно менять: сам патч их не защищает.
Скиммер на странице оплаты
Внедрённый скрипт ворует данные карт покупателей. Итог: возвратные платежи, претензии эквайера, блокировка приёма платежей.
Шифровальщик в инфраструктуре
Сервер сайта становится точкой входа во внутреннюю сеть: 1С, файловые хранилища, резервные копии. Это недели простоя и требование выкупа.
Метка «сайт может быть опасен»
Поисковики и браузеры помечают заражённые сайты. Трафик проседает на недели даже после очистки.
Шесть шагов за 24 часа: от заявки до отчёта
Временную защиту ставим в первые часы после получения доступа к серверу. Сайт продолжает работать, если позволяет ситуация.
Инвентаризация
Находим все серверы, контейнеры и ветки PHP. Смотрим версию, которая реально обслуживает сайт, а не только
php -vв консоли.Временная защита
Включаем WAF-правила, применяем компенсирующие настройки из бюллетеня PHP, закрываем админку и тестовые стенды от внешнего доступа.
Обновление PHP
Ставим 8.2.35, 8.3.36, 8.4.27 или 8.5.12. Сначала на копии, затем на боевом сервере. Перезапускаем PHP-FPM или Apache, пересобираем Docker-образы.
Проверка на взлом
Ищем веб-шеллы, изменённые файлы ядра CMS, новых администраторов, задачи cron и подозрительные исходящие соединения. Разбираем логи с 20 октября.
Смена секретов
Меняем пароли к базе, ключи API и платёжного шлюза, токены обмена с 1С, соли WordPress, сбрасываем сессии.
Отчёт и наблюдение
Передаём отчёт: что нашли, что изменили, какие версии стоят. По желанию оформляем гарантию и ежемесячную поддержку.
С какими сайтами работаем
Уязвимость в самом PHP, поэтому защищать нужно любой сайт на PHP. Работаем удалённо с компаниями из любого региона России.
1С-Битрикс и Битрикс24
Обновление PHP на BitrixVM и Bitrix Env, коробочный Битрикс24, проверка обмена с 1С после обновления.
WordPress и WooCommerce
Обновление PHP на VPS и хостинге, поиск вредоносного кода в плагинах и темах, смена солей и паролей.
Magento и Adobe Commerce
Защита страницы оплаты от скиммеров, проверка шаблонов оформления заказа и интеграций с эквайрингом.
Drupal и Joomla
Обновление PHP, аудит модулей и расширений, перенос старых версий на поддерживаемый PHP.
OpenCart и интернет-магазины
Обновление PHP без остановки продаж, проверка админки и модулей оплаты.
Laravel, Symfony, Yii и самописные сайты
Обновление PHP в Docker и на серверах, проверка совместимости кода, пересборка образов.
Стоимость считаем индивидуально
Цена зависит от числа серверов, платформы и версии PHP. Называем её после короткого разговора, до начала работ, и больше не меняем.
Исправление за 24 часа
- Инвентаризация всех серверов и версий PHP
- Временная защита в первые часы
- Обновление PHP и проверка работы сайта
- Поиск следов взлома и смена ключей
- Отчёт о выполненных работах
Защита версий 5.4–8.1
- Изоляция сервера в течение 24 часов
- Сборка с исправлениями от поставщика ОС
- Аудит совместимости кода
- Перенос сайта на PHP 8.3 и новее
Гарантия от взлома
- Если сайт взломают через закрытую нами уязвимость, восстановим его бесплатно
- Удалим вредоносный код и закроем причину
- Срок гарантии фиксируем в договоре
Поддержка и защита
- Установка обновлений безопасности PHP и CMS
- Контроль изменений файлов сайта
- Наблюдение за логами и атаками
- Проверка резервных копий
Прозрачная смета: вы заранее видите, за что платите
Под каждый запрос мы собираем свою команду. У каждого специалиста фиксированная почасовая ставка, а работа занимает от нескольких часов. Смету вы получаете до начала работ и видите, во что обходится устранение каждого риска.
Один сайт закрывает небольшая команда за несколько часов. Группе сайтов крупного провайдера или холдинга нужны архитектор, удвоенная команда и работа волнами, поэтому объём и стоимость выше. Переключите пример справа, чтобы сравнить.
- Разбираем запрос. Платформа, версия PHP, число серверов, есть ли признаки взлома.
- Собираем команду. Подключаем только тех специалистов, без которых задачу не решить.
- Считаем часы. Для каждой роли называем объём работ в часах и её фиксированную ставку.
- Согласуем смету и срок. После старта цена не меняется.
Стоимость = Σ (часы роли × ставка роли)
-
Руководитель проектаприём заявки, доступы, итоговый отчёт1 ч
-
Системный администраторинвентаризация, временная защита, обновление PHP3 ч
-
Специалист по информационной безопасностипоиск следов взлома, анализ логов, смена ключей3 ч
-
Веб-разработчиксовместимость кода с новой версией PHP2 ч
-
Тестировщиккорзина, формы, обмен с 1С1 ч
-
Руководитель проектаплан работ, окна обслуживания, отчёт3 ч
-
Системный администраторизоляция серверов, сборка PHP с исправлениями, обновление трёх серверов10 ч
-
Специалист по информационной безопасностирасследование взлома, очистка, смена всех ключей12 ч
-
Веб-разработчикперенос кода с PHP 7.4 на 8.314 ч
-
Тестировщиккаталог, корзина, оплата, обмен с 1С5 ч
-
Руководитель проектаплан по волнам, окна обслуживания, связь с вашими командами16 ч
-
Архитектор инфраструктурыкарта серверов, приоритеты, план отката16 ч
-
Системные администраторы · 2массовое обновление PHP, автоматизация, пересборка образов60 ч
-
Специалисты по информационной безопасности · 2WAF, проверка всех сайтов на взлом, смена ключей48 ч
-
Веб-разработчики · 2совместимость старых сайтов с новым PHP40 ч
-
Тестировщики · 2проверка ключевых сайтов после каждой волны24 ч
Самые важные сайты закрываем в первые 24 часа, остальные обновляем волнами.
Специалисты работают параллельно, поэтому срок короче суммы часов. Ставка каждой роли зафиксирована в договоре. Чем больше сайтов, серверов и старых версий PHP, тем больше команда и объём работ.
Что спрашивают чаще всего
Мы обновили WordPress и все плагины. Этого достаточно?
Нет. Уязвимость в интерпретаторе PHP, а не в CMS. Автообновления WordPress и SiteUpdate в «1С-Битрикс» сам PHP не обновляют. Нужно обновить PHP на сервере и перезапустить его процессы.
Мы поможем: обновим PHP на сервере, перезапустим процессы и проверим, что сайт работает на новой версии.
У нас виртуальный хостинг. Хостер всё сделает сам?
На виртуальном хостинге PHP обычно обновляет провайдер, но сроки у всех разные, а старые версии PHP он может и не исправить. Проверьте версию в панели. На VPS и выделенном сервере обновление полностью на вас.
Мы поможем: проверим версию PHP на вашем хостинге, переключим её в панели или подготовим переезд на защищённый сервер.
У нас PHP 7.4 или 8.1. Что делать?
Официальных релизов для этих веток нет. Есть исправления исходного кода и пакеты от некоторых поставщиков Linux. Для PHP 5.4–7.3 исправлений не будет, остаётся изоляция и миграция.
Мы поможем: установим проверенную сборку с исправлениями, если она есть для вашей системы, и параллельно перенесём сайт на PHP 8.3 или новее. Старые версии изолируем в течение 24 часов.
Сайт за Cloudflare. Мы защищены?
Частично. Cloudflare добавил правила против известных вариантов атаки, в том числе на бесплатном тарифе. Но это временная мера: новые варианты атаки её обходят, а запросы напрямую на IP сервера она не видит.
Мы поможем: закроем прямой доступ к серверу в обход Cloudflare и устраним уязвимость обновлением PHP.
Как понять, что нас уже взломали?
Без проверки никак: веб-шелл может месяцами не проявлять себя. Признаки: новые PHP-файлы в папках загрузок, незнакомые администраторы, новые задачи cron, рост исходящего трафика. Вторая уязвимость позволяет читать память, поэтому пароли и ключи стоит сменить даже без явных признаков взлома.
Мы поможем: проверим сервер на веб-шеллы и следы взлома, очистим сайт и сменим все пароли и ключи.
Нужно ли выключать сайт до обновления?
Обычно нет. Отключение нужно, только если сервер на PHP 5.x–7.3 и мигрировать быстро нельзя.
Мы поможем: закроем доступ к служебным разделам, включим фильтрацию запросов и применим компенсирующие настройки, а затем обновим PHP без остановки сайта.
Расскажите о сайте, и мы перезвоним
Достаточно адреса сайта и контакта. Если не знаете версию PHP или CMS, оставьте поля пустыми: определим сами. Заявка сразу приходит дежурному специалисту на support@b2bconsulting.expert.