PHP2Shell: критична уязвимост в PHP - как да защитите WordPress

На 21 октомври 2026 г. изследователите от Wiz Research публикуваха подробности за две критични уязвимости в PHP, които откриха и докладваха на PHP екипа. Те са обединени под името PHP2Shell. Проблемът може да позволи на нападатели да изпълняват код на сървъра без автентикация или да извличат чувствителна информация от неговата памет.

Уязвимостите са особено важни за собствениците на WordPress уебсайтове, но засягат и други платформи, използващи PHP.

Рискът е сериозен и изисква незабавна проверка на използваната PHP версия. Официални поправки вече са налични, но трябва да бъдат приложени своевременно.

Какво представлява PHP2Shell?

PHP2Shell е общото название на две уязвимости:

• CVE-2026-109618 – проблем при обработването на грешки, свързани с недостиг на памет.
• CVE-2026-109619 – проблем с вътрешното състояние на PHP, при който освободена памет може да бъде използвана повторно по опасен начин.

И двете получават критична оценка 9.2 от 10 по CVSS 4.0.

При определени условия нападател може да постигне Remote Code Execution (RCE) – изпълнение на произволен код върху засегнатия сървър.

Възможно е също разкриване на информация от паметта на PHP процеса, включително пароли, токени и API ключове.

Особено тревожно е, че проблемите са в самия PHP runtime, а не в конкретен плъгин, тема или CMS.

Кои уебсайтове са засегнати?

Уязвимите версии на PHP могат да се използват от различни платформи, включително:

• WordPress
• Drupal
• Joomla
• Magento
• Laravel
• Уебсайтове и приложения, разработени с PHP

Според Wiz Research уязвимостите засягат PHP версии чак до 5.4, включително почти всички по-нови версии преди поправките от 21 октомври 2026 г. Това означава, че голяма част от PHP инсталациите могат да бъдат изложени на риск, ако не са получили необходимите актуализации или потвърдени корекции от доставчика.

Wiz Research демонстрира успешно изпълнение на код без автентикация срещу тестови инсталации на WordPress, Drupal и Joomla.

Уязвимостите засягат PHP инсталации, обслужващи уеб заявки, включително PHP-FPM, Apache с mod_php, php-cgi, FrankenPHP и LiteSpeed.

Според PHP Security Team рискът е особено висок при определени конфигурации с mod_php, където е демонстрирана атака, която може да започне още преди изпълнението на кода на самия уебсайт.

Реалният риск зависи от версията на PHP, конфигурацията и сървърната среда. Но уязвимостта е в самия PHP, затова не е нужен слаб плъгин, остаряла тема или грешка в кода на сайта, за да бъде един сървър засегнат. Според Wiz дори много просто приложение на уязвима версия може да е в риск.

Освен това обикновеното обновяване на WordPress или неговите плъгини не отстранява проблема, ако сървърът продължава да работи с уязвима PHP версия.

Засяга ли PHP2Shell Next.js и React?

Не директно.

Next.js е React framework, който обичайно използва Node.js за сървърното изпълнение. PHP2Shell засяга PHP и не представлява уязвимост в Next.js, React или Node.js.

Следователно стандартен Next.js уебсайт, който не използва PHP компоненти, не е засегнат от тези две конкретни уязвимости.

Има обаче изключения. Най-честият пример е headless WordPress: сайтът е изграден с Next.js, но съдържанието се управлява през WordPress на отделен сървър. В такъв случай WordPress сървърът продължава да работи на PHP и трябва да бъде проверен и обновен точно както всеки друг PHP уебсайт.

Важно е и друго – отсъствието на PHP2Shell не означава, че Next.js е защитен от всички възможни атаки. Всяка технология изисква навременни актуализации и правилна конфигурация.

По темата сме публикували и отделен анализ: Next.js security update 2026: две критични RCE уязвимости.

Как да защитите своя уебсайт?

PHP публикува поправени версии на 21 октомври 2026 г.

Минималните поправени версии за съответните линии са:

Всяка по-нова версия в същата линия също е поправена.

PHP 8.1 и по-старите версии вече не получават стандартни security актуализации от PHP проекта. Препоръчителното решение е миграция към поддържана версия.

Ако това не е възможно веднага, поискайте от хостинга или доставчика на операционната система backport корекция, която изрично покрива и двете уязвимости (CVE-2026-109618 и CVE-2026-109619). PHP Security Team е публикувал и минимални source patches за PHP 7.4, 8.0 и 8.1, но те са предназначени за администратори, които поддържат собствени PHP компилации, и не са стандартни официални версии.

Практически стъпки:

1. Проверете използваната PHP версия през хостинг контролния панел или при вашия технически администратор.
2. Направете резервно копие на уебсайта и базата данни.
3. Актуализирайте PHP до поправена версия или приложете потвърден security patch от доставчика.
4. Уверете се, че обновената версия действително обслужва уеб заявките. При самостоятелно управляван сървър това обикновено изисква рестартиране на PHP-FPM или съответния PHP runtime, а при необходимост и на уеб сървъра.
5. Проверете версията, използвана от реалния уебсайт, а не само тази, която показва командата php -v. Двете могат да се различават.
6. Проверете съвместимостта и основните функционалности на уебсайта след актуализацията.
7. Ако има съмнение за компрометиране, прегледайте сървърните логове и потърсете техническа проверка.

Cloudflare и Vercel вече са внедрили допълнителни WAF защити срещу известни модели на атака.

Това намалява риска, но не замества актуализирането на PHP.

Трябва ли да преминете от WordPress към Next.js?

Не непременно.

Една критична уязвимост не е достатъчно основание за спешна смяна на цялата технологична платформа.

Ако WordPress уебсайтът се поддържа правилно, използва актуални версии и разполага с подходяща сървърна защита, първата стъпка е да бъде приложена необходимата актуализация.

Миграцията към друга технология има смисъл, когато съществуват по-широки причини – например проблеми с производителността, трудна поддръжка, ненужно много зависимости или ограничения в развитието на проекта.

В DIMITROV.code разработваме уебсайтове с Next.js и предлагаме миграция от WordPress към Next.js, когато това носи реална полза за бизнеса.

Заключение

PHP2Shell показва, че сериозни проблеми със сигурността могат да съществуват дори в широко използвани технологии, развивани повече от десетилетие.

За собствениците на PHP уебсайтове приоритетът е ясен: проверка на версията и навременна актуализация.

За собствениците на Next.js уебсайтове PHP2Shell не представлява пряка заплаха, освен ако инфраструктурата им не включва уязвими PHP компоненти.

Независимо от технологията, сигурността не е еднократна настройка, а постоянна част от поддръжката на всеки уебсайт.

Ако използвате WordPress или друга PHP платформа, проверете версията на PHP още днес. Ако не управлявате сами хостинга си, свържете се с доставчика и поискайте потвърждение, че необходимите корекции са приложени.

Официални източници

• Wiz Research – PHP2Shell
• PHP – Официални security releases
• Vercel – PHP2Shell Security Bulletin
• Google Cloud – PHP2Shell Security Guidance
• PHP Foundation – Today’s PHP security release
• Cloudflare – PHP2Shell WAF Protection

Автор: Борислав Димитров
Full Stack Developer
Next.js • SEO • AI Visibility