PHP коопсуздук жаңыртуусу 2026: PHP2Shell CVSS 9.2 кемчилигин оңдоо колдонмосу

Ачыкка чыгаруунун өзү да кадимкидей болгон жок. 20-октябрда PHP коопсуздук командасы алдын ала билдирүү жарыялап, чыгарууну 21-октябрда, UTC боюнча саат 14:00 маалында белгиледи да, мурдараак чыгарып коюу укугун сактап калды. CVE идентификаторлору ачыкка чыгаруудан бир күн мурун сыртка чыкты; ошол эле агымда оордук даражасы жана таасир этүүчү версиялар жөнүндө ашып-ташыган ырастоолор да таркап кетти. Вендорлор өз дистрибутивдери үчүн жамаларды мурдунан эле алышкан болчу, улуттук CERTтер болсо код жалпыга ачык жарыялана электе эле кеңештерин жарыялоону башташты. Башкача айтканда: чыгаруу жарыялангандан кийин кечигүүнүн акылуу себеби эч кимде калган жок.

Эки кемчилик, бир шашылыш чыгаруу

Бул эки кемчилик тең колдонмодогу логикалык ката эмес. Экөө тең PHP суроо-талапты кантип даярдап, кантип аяктаганында жатат — ошондуктан эч бир фреймворк жаңыртуусу, плагин жаңыртуусу же WAF эрежеси интерпретаторду жаңыртуунун ордуна өтө албайт.

CVE-2026-109618 — эс түгөнүү бузулуусу аркылуу RCE. PHPге эс жетпей калганда, ал суроо-талапты улантып иштетүүнүн ордуна үзүп таштайт. Билдирүүдө мындай жол сүрөттөлөт: бул үзүү ички суроо-талап маалыматтары жарым-жартылай инициализацияланган кезде PHPни үзүп калат, ошондуктан кийинки тазалоо кадамы жараксыз маалыматты жарактуу катары кабыл алат. Эсти пайдаланууну чекке жеткире алган кол салуучу ошондуктан андан ары эмне болоорун багыттай алат. Дал ошол кемчилик убактылуу чара кеңештерин мынчалык карама-каршы кылат: вендор администраторлордон PHP өзүнүн эс чегине жетишин токтотууну сурайт, чегин кыса тартууну эмес.

CVE-2026-109619 — эскирип калган глобалдык абал аркылуу RCE. Бир суроо-талапка таандык ички абал анын артындагы эс бошотулгандан кийин да сакталып калышы мүмкүн. Ошол эле ишчи процесси тейтеген кийинки суроо-талап жарактуу инициализация аны жаңыртуудан мурун эле ошол эски абалды пайдаланып калат. Узак жашаган ишчи процессинде — PHP-FPM, mod_php жана LiteSpeed дал ошолор — кайра пайдаланылган эс кадимки, туруктуу абал; ошондуктан бул өзгөчө сейрек конфигурациялардын гана четки учуру эмес.

PHP2Shell аталышы PHP проектинин расмий аталышы эмес; аны изилдөөчүлөр менен коопсуздук вендорлору бери баштаган жана аталыш жабышып калган, ошондуктан аны сканерлердин чыгыштарында, хостинг билдирүүлөрүндө жана CERT кеңештеринде — дал ошол эки CVEни көздөгөн түрдө — кездештиресиз.

Чынында тобокелдикке кабылгандар кимдер

Билдирүү ачык айтат: веб суроо-талаптарын тейтеген бардык PHP орнотуулары тобокелдикте. Бул nginx же Apache артындагы PHP-FPM, mod_php менен Apache, php-cgi, LiteSpeed жана FrankenPHP камтыйт. Алардын ортосундагы айырма — кол салуучу канчалык көп иш аткарышы керек экенинде.

Эгер соода бизнесиңиз үчүн WordPress, WooCommerce, Laravel, Magento, Magentого жакын ERP системалары же PHPде иштеген каалаган брондоо порталын хостингдеп жатсаңыз, колдонмо коду керемет жакшы болсо дагы алгачкы үч катарга киресиз. Иштетүү чөйрөсүн түп башатында ким ээлеш керек деген суроого кеңири көз караш үчүн биздин Түркиядагы IT аутсорсинг жөнүндө колдонмобузду караңыз.

Версияңызды эки мүнөттө текшериңиз

Мындагы тузак — версиялык арифметика. Дистрибутивдер PHP 8.3.6 же 8.2.x версияларын жылдар бою чыгарып, коопсуздук оңдоолорун ошол эле көрүнүүчү версия номерине бэкпорт кылышат, ошондуктан жападан жалгыз php -v сиздин корголгонуңузду аныктап бербейт. Үч нерсени салыштырыңыз.

1. Көрүнүүчү PHP версиясы жана трафикти тейтеген SAPI.

2. Дистрибутивдик пакеттин версиясы, upstream версиясы эмес. Debian менен Ubuntuда чын жооп — пакеттин өзгөрүүлөр журналы; RPM системаларда пакеттин өзгөрүүлөр журналынан сураңыз.

Эгер орнотулган версиянын өзгөрүүлөр журналы эки CVEни тең эскерсе, php -v дагы эле 8.3.6 десе да, сиз жамалангансыз. Мына бул — чыныгы коопсуздук жообу менен жөн гана версия номерине ишенүүнүн ортосундагы айырма.

3. Иштеп турган процесс жамаланган бинардык файлды кайра жүктөдүбү. Артынан рестарт жасалбаган пакет жаңыртуусу эски кодду эсте калтырат. Кызматтын ишке кирген убактысын пакет орнотулган убакыт менен салыштырыңыз:

cPanel, Plesk, DirectAdmin же башкарылма платформодо бул жерде PHP тандоочусу жана хостердин өз коопсуздук билдирүүсү колдонулат: панелде жарнамаланган эң жаңы версияны эмес, сайтыңызга чындап дайындалган ички курамдык версияны аныктаңыз. Эгер хостер жама датасын айта албаса, сайтты жамаланган эмес деп эсептеңиз. Биздин цифрдык инфраструктура кызматтарыбыз ушул аудитти жана жаңыртуунун өзүн камтыйт; ошондой эле жөн гана бизге кайрылсаңыз болот — стекиңизди айтсаңыз, биз эмнени текшерээрибизди айтып беребиз.

Оңдолгон версиялар жана колдоо токтолуу жээги

PHP бир бутакты эки жыл активдүү өнүктүрүү жана дагы эки жыл коопсуздук оңдоолору менен колдойт. Дал ошол саясат 21-октябрда бир эле убакта төрт оңдоонун чыгышына алып келди — жана ошол эле саясат эски бутактарды жеке жагына таштап кетет.

Билдирүүдөн эки практикалык эскертүү. Биринчиден, эгер PHPни дистрибутивиңизден эмес, коомдук репозиторийден орнотсоңуз, ал репозиторий коопсуздук терезесинен кече калышы мүмкүн: кеңири колдонулган Remi пакеттеринин кармоочулары ошол күндөгү жаңыртууларды чыгарбай тургандарын билдиришкен, ошондуктан коопсуз жол — дистрибутивиңиздин пакеттери же башат коддон курулушу. Экинчиден, эгер сиз PHP 8.1 же андан эски версияда иштесеңиз, «хостерибизди күтөбүз» деген сөз кардарларыңыздын атынан кабыл алынып жаткан коопсуздук чечими — аны документке жазып калтырыңыз же өзгөртүңүз.

Өндүрүш серверин инцидентсиз жама коюу

Бир минордуу коопсуздук жаңыртуулары колдонмону сейрек бузат; текшерилбеген рестарттар бузат. Төмөндөгү тартип — биздин иштеп турган соода платформаларында колдонгонубуз; ал сайтты оюнга коюп койбостон тобокелдик терезесин кыска кармайт.

1. Адегенде снапшот. Чындап текшерилген гипервизор же том снапшоту бир нече мүнөттүн ичинде калыбына келтирилет жана жама коюу чечимин арзан кылат.
2. Версияны тесттик чөйрөдө кайталаңыз. Ошол эле бутак, ошол эле кеңейтүүлөр, ошол эле PHP конфигурация файлдары, өндүрүш маалыматтарынын көчүрмөсү. Жалгыз башкы бетти эмес, товар тандоо, баа сурап кайрылуу жана төлөө жолдорун иштетип көрүңүз.
3. Пакеттер жыйындысын бир бүтүн катары жаңыртыңыз. Жаңыртылган CLI менен эски FPM бинардык файлын аралаштыруу — адамдар жамаланган php -v жана жамаланбаган веб жолу менен калышканынын себеби: apt-get update && apt-get install --only-upgrade 'php8.3-*', же RPM хосттордо dnf update --security 'php*'.
4. Суроо-талап тейтеген процессти кайра жүктөңүз, андан соң кайра жүктөлгөнүн текшериңиз. systemctl restart php8.3-fpm (же Apacheни кайра жүктөңүз / LiteSpeedди рестарт кылыңыз), андан соң кызматтын ишке кирүү убактысын кайра текшерип, версия жана өзгөрүүлөр журналы жөнүндөгү суроолорду дагы бир жолу аткарыңыз.
5. Каталар журналын бир саат көзөмөлдөңүз. OOM билдирүүлөрү, жаңы фаталдык ката издери жана кадимки эмес 5xx көрсөткүчтөрү — төмөндөгү убактылуу чара жөндөөлөрү жөндөлүшү керек экенин билдире турган сигналдар, жаңыртууну кечиктирүүнүн себеби эмес.
6. Далилдерди сактап коюңуз. Пакеттин версиясы, эки CVEни эскерген өзгөрүүлөр журналы сабы, рестарттын убакыт белгиси. Кардарлар, аудиторлор жана ISO 27001 тибиндеги контролдук текшерүүлөр так ушуну сурашат, аны сактоо он секунд гана убакыт алат.

Жаңыртуу күтүүгө аргасыз болгон жерлерде — валидацияланган ERP интеграциясы, чыгарылуу календариндагы эмбарго, кардар макулдашуу процесси — портту ачык коюп үмүттөнүүнүн ордуна ошол эле күнү алдына компенсациялоочу чара коюңуз. Улуттук CERTтердин кеңештери так ушул кырдаал үчүн дал ошону сунуштаган: дароо жама коюу мүмкүн болбогон учурда интернетке багытталган PHP колдонмолорун жалпыга ачык тармактан бөлүп коюу.

Убактылуу чаралар: терезени тарытыңыз, жаппаңыз

PHP билдирүүсү толук чара жок экенин жана жаңыртуу гана коопсуз тандоо экенин ачык билдирет. Төмөндөгүлөрдү жумалар менен эмес, күндөр менен эсептелген коргоо катары кармаңыз; колдонмо жокко чыгара албаган деңгээлде колданып, андан соң ар бир ишчини кайра жүктөңүз.

CVE-2026-109618 боюнча (эс түгөнүү жолу)

• PHP өзүнүн чегине эмес, машинасынын эсин түгөтүшүнө уруксат бериңиз: memory_limit = -1, идеалында php_admin_value memory_limit = -1 түрүндө, ошондо колдонмо коду чекти кайра ордуна коё албайт.
• Суроо-талап денелерин интерпретатордо кичине кармаңыз: билдирүүнүн кеңеши боюнча жүктөлүүчү файлдар болбосо 8 MB чамасында, болсо 32 MB чамасында; upload_max_filesize мааниси post_max_size маанисинен кичине болушу керек.
• Оор чектерди прокси деңгээлинде кармаңыз, анткени зыян зымдагы өлчөмдө эмес, декоддолгон суроо-талапта болот: декоддолгон дененин жалпы өлчөмү, кирүү талааларынын саны, multipart бөлүктөрүнүн саны, хедерлердин саны, ич ара тереңдиги — жана пайдаланууга жарамдуу Content-Length жок келген суроо-талаптарды да камтыңыз.
• Бузулуунун таралуу аймагын контейнер же cgroup эс чеги менен чектеңиз, өлчөмү мындай болсун: өлтүрүлгөн ишчи бүт хосттун эмес, жеткиликтүүлүктүн гана окуясы болсун. RLIMIT_AS же RLIMIT_DATA алмаштырбасын: алар дал ошол алсыз жолдо жаткан бөлүштүрүүдөн баш тартууну козгойт.

CVE-2026-109619 боюнча (эскирип калган абал жолу)

• Сессия жүктөө жүрүшүнүн жазуусун өчүрүңүз: session.upload_progress.enabled = 0, php.ini, FPM пулу же сервер конфигурациясында орнотулат — суроо-талапты талдоодон мурун колдонулуучу жерде. Андан соң ар бир ишчини кайра жүктөңүз, анткени FPM инициализацияланган модул абалын суроо-талаптардын ортосунда бөлүшөт. ini_set() жана .user.ini жардамдашууга өтө кеч калышат.
• PHP 8.5 болсо, fatal_error_backtraces = 0 жөндөп, кайра жүктөңүз.
• Суроо-талапка тиешелүү, жараксыз же колдонулбай калган жөндөөлөрдү алып салыңыз — алар алгачкы инициализация маалында диагностикалык билдирүүлөрдү чыгарып турат. Билдирүүнү error_reporting, display_errors же @ менен басып коюу код жолун жок кылбайт.
• Кол салуучу жете алган фаталдык каталарды жана узак иштеген таймауттарды жүктөө жана импортту иштетүүчү коддордон, callback коддорунан жана тазалоо процедураларынан издеп табыңыз — эки кемчилик тең ошол эле жерлерде жашайт.

Originдун алдына коюлган CDN же WAF дагы эле өз пайдасын берип турат: ылдамдыкты чектөө, кадимки эмес суроо-талап формаларын блоктоо жана виртуалдык жама коюу шуулдонууну азайтып, кокустан издөөлөрдү жайлатат. Алар максаттуу кол салуучу үчүн жолдогу тосмо гана, оңдоо катары кол коюла турган контроль эмес.

Бүгүн хостинг провайдериңизден эмнени сураш керек

Колдоо кызматтарынын даяр жообу — «биз ар дайыма жамаланган болобуз». Ошонун ордуна сиз файлга сактай ала турган далилдерди сураңыз:

• Биздин эсебибизге дайындалган ички курамдык PHP версиясы жана ал дистрибутивдик пакетпи же вендордук куруубу.
• CVE-2026-109618 жана CVE-2026-109619 оңдоолору сиздин сервер паркыңызга жеткен күн, ички пакет версиясынын жазуусу менен бирге.
• Оңдоо биздин сайтты тейтеген SAPIге (FPM, LiteSpeed, mod_php) жана калыбына келтиришиңиз мүмкүн болгон каалаган тесттик же камдык түйүнгө тиешелүүбү.
• Платформа али жамаланбаса: кайсы компенсациялоочу чара күчүндө жана качанга чейин.
• EOL бутактары боюнча туруктуу саясатыңыз — PHP 8.2 коопсуздук колдоосу токтогон 2027-жылдын 1-январында менин сайтыма эмне болот.

Беш суроого бир гана электрондук кат менен жооп берген провайдер — сактап калууга татыктуу провайдер. Жоопту маркетинг тексттери менен кайтарып жаткан провайдер болсо — бул миграция жөнүндө сүйлөшүүнүн темасы; дал ошондой кылдаттык биздин ISO 27001 боюнча боштуктарды баалоо ишибизде да колдонулат — мында тапшырылуучу нерсе тынчтандыруу эмес, далил.

Кол салууга кабылганбыз деп ойлошубуз керекпи?

Автоматтык түрдө жок — бирок болжолдонгонунун ордуна текшириңиз, өзгөчө жама коюуңуздан мурунку терезе учурунда сервер жалпыга ачык интернетке багытталган болсо.

• Сиз түзбөгөн процесстерди, тыңдап турган портторду жана cron жазууларын, ошондой эле PHP ишчи колдонуучусунан чыккан тышкы туташууларды издеп көрүңүз.
• Жазылма колдонмо каталогдорун ишенимдүү орнотуу башаты менен салыштырып чыгыңыз: жаңы PHP файлдары, өзгөртүлгөн жүктөө каталогдору, күтүлбөгөндө аткарыла турган убактылуу папкалар.
• Веб журналдарынан ачыкка чыгаруу сааттарындагы суроо-талаптардын кескин көбөйүшүн, өтө чоң multipart денелерин же PHP каталар журналында OOM издери менен 500 кайтарган суроо-талаптарды издеп көрүңүз.
• Жамаланган бинардык файл чын эле иштеп жатканын текшериңиз — жогорудагы рестарт убактысын салыштыруу ошого жооп берет.
• Эгер бир жери туура эмес көрүнсө, аны инцидент катары кармаңыз: дискти жана журналдарды сактап коюңуз, колдонмо окуй алган ар кирүү тастыктамасын жаңыртыңыз жана ишенимдүү сүрөттөн кайра кураңыз. Кол салууга кабылган хостко PHP пакетин кайра орнотуу — бул оңдоо эмес.

Өз инфраструктурабыздагы иштелген мисал

Биз worldwidetradex.com сайтын Ubuntu 24.04 LTS үстүнөн nginx жана PHP-FPM менен иштетебиз, ошондуктан 22-октябрда жогорудагы текшерүүлөрдү өзүбүзгө карата жүргүздүк. Натыйжалары версиялык арифметика эмне үчүн маанилүү экенин мыкты көрсөтөт:

Сабак каалаган стекке да тиешелүү: коопсуздук абалыңыз — пакет версиясы плюс өзгөрүүлөр журналы плюс рестарт, хостинг панелиндеги маркетингдик версия жолу эмес.

Жама коюнуу баатырдык иштен күнүмдүк ишке айлансын

PHP2Shell өзгөчө жанылык болгондуктан эмес, вебдин көп бөлүгү иштеп жаткан интерпретатордо критикалык, аутентификациядан мурунку кемчилик ачылып, миңдеген хосттор бир нече сааттын ичинде кыймылга келүүгө аргасыз болгондуктан эсте кала турган нерсе. Анын үстүнөн уктап өткөн командалар бактылуу болгон эмес — аларда автоматташтыруу даяр эле.

• Интерпретатор үчүн көзөмөлсүз коопсуздук жаңыртуулары, версия жана рестарт автоматтык түрдө жазылып турсун.
• Ар бир сайт кайсы SAPIни жана кайсы PHP бутагын колдонот деп билген инвентарь — ага тесттик чөйрөлөр, камдык көчүрмөлөр жана 2019-жылдан калган ошол бир WordPress да кирет.
• Көнүгүүдөн өткөн калыбына келтирүү жолу — ошондо «азыр жама коёлу» эч качан «артка кайтара албайбыз» менен таразаланбайт.
• Бутак планы: коопсуздук колдоосу кийинки он эки айдын ичинде бүтө турган PHP чыгарылышында эч нерсе турбашы керек.
• Ар бир серверге өзүнчө дайындалган жооптуу адам жана жама чейшемби күнү саат 14:00 UTCде түшкөн күндөр үчүн жазуу түрүндөгү эскалация жолу.

Эгер мындай мүмкүнчүлүктү кадрлар менен камдоодон көрү, сатып алууну туура тапсаңыз, биз өндүрүштүк PHP платформаларынын — жама коюу ыргагы, мониторинг, камдык көчүрмөлөр жана документтештирилген калыбына келтирүү — ээлигин өзүбүзгө алабыз; бул биздин башкарылма инфраструктура иштерибиздин бир бөлүгү. Кыска бриф жана сан-өлчөмдөр менен баштаңыз: баа сураңыз.

Көп берилүүчү суроолор

Булактар

• PHP — «Критикалык алыстан код аткаруу кемчиликтери, азыр жаңыртыңыз» коопсуздук билдирүүсү жана 2026-жылдын 21-октябрындагы чыгарылыш жарыялары, аларга убактылуу чаралар боюнча кеңештер жана колдоодогу версиялар баракчасындагы колдоо хронологиясы кирет.
• PHP репозиторийи боюнча GitHub коопсуздук билдирүүлөрү: GHSA-w8hw-w9fx-j79w (CVE-2026-109618) жана GHSA-6wmf-4rv5-p3rp (CVE-2026-109619).
• CERT-EU — коопсуздук билдирүүсү 2026-018 «PHPдеги критикалык кемчиликтер», эки CVEни тең атайт.
• Infosecurity Magazine — «Критикалык PHP кемчиликтери пландаштырылган коопсуздук жамаларынан мурун сыртка агып кетти» (2026-жылдын 21-октябры) жана «PHP2Shell кол салуу аракети кемчилик ачыкка чыгаруудан төрт күн мурун Amazon тарабынан аныкталды» (2026-жылдын 22-октябры).

Жаңыртуу сиз үчүн аткарылышын каалайсызбы? Жама коюу, версиялык аудит, башкарылма жана жамаланган PHP платформасына көчүү же анын тегерегиндеги инфраструктура боюнча сүйлөшүү үчүн бизге кайрылыңыз же +90 505 679 78 03 номерине телефон чалыңыз.