PHP қауіпсіздік жаңартуы 2026: PHP2Shell CVSS 9.2 жөндеу нұсқаулығы

Ашықтануудың өзі де әдеттен тыс болды. 20 қазанда PHP қауіпсіздік тобы алдын ала хабарлама жариялады, шығаруды 21 қазан сағат 14:00 UTC деп белгіледі және ертерек шығару құқығын сақтап қалды. CVE идентификаторлары ашықтануға бір күн қалғанда, қауіп дәрежесі мен қамтылатын нұсқалар туралы шамадан тыс айтылған деректермен бірге төмен түсіп қалды. Дистрибутивтердің әкімшілері жақтарды әлдеқашан алған еді, ұлттық CERT-тар код әлі жарияланбастан бұрын нұсқаулар шығара бастады. Басқаша айтқанда: жаңарту шыққаннан кейін кешігуге ешкімнің де заңды сылтауаты қалмады.

Екі осалдық, бір шұғыл жаңарту

Бұл екі ақау да қолданбаның логикалық қатесі емес. Екеуі де PHP-дің сұрауды дайындау мен жабу тәртібінде жатыр, сондықтан ешбір framework жаңартуы, плагин жаңартуы немесе WAF ережесі интерпретатор жаңартуының орнын баса алмайды.

CVE-2026-109618 — жад таусылған кездегі жолмен RCE. PHP жады таусылғанда сұрауды жалғастырмай үзеді. Хабарлама мұндай үзіліс PHP-ді сұраудың ішкі деректері әлі жартылай инициализацияланған кезеңде тоқтататын жолды сипаттайды, ал содан кейін сұрауды тазарту қадамы жарамсыз деректерді жарамды деп қабылдайды. Жадты пайдалануды шектеуге жеткізе алатын шабуылшы осылайша кейін не болатынын бақылап ұстай алады. Дәл осы осалдық уақытша шараларды интуицияға қайшы етеді: өндіруші әкімшілерден PHP-дің өз жад шегіне жетуін тоқтатуды сұрайды, оны тарылтуды емес.

CVE-2026-109619 — ескірген глобалдық күй жолымен RCE. Бір сұрауға тиісті ішкі күй оның артындағы жад босатылғаннан кейін де сақталып қалуы мүмкін. Сол бір жұмыс процесі өңдейтін келесі сұрау қалыпты инициализация оны қалпына келтіріп үлгермей-ақ сол ескірген күйді пайдалануы мүмкін. Ұзақ жұмыс істейтін процесс үшін — PHP-FPM, mod_php және LiteSpeed дәл сондай — жадты қайта пайдалану қалыпты, тұрақты жағдай, сондықтан бұл экзотикалық орнатулардың сирек кездейтін жиек жағдайы емес.

PHP2Shell атауы PHP жобасының ресми белгісі емес; оны зерттеушілер мен қауіпсіздік компаниялары қойып, солай бекіп қалды. Сондықтан оны сканерлердің шығысында, хостингтердің бюллетеньдерінде және CERT нұсқауларында көресіз — ол дәл осы екі CVE-ге қатысты.

Шынымен кім қауіптің астында

Хабарлама ашық айтады: web-сұрауларға қызмет көрсететін барлық PHP орнатуы қауіптің астында. Бұған nginx немесе Apache арқылы PHP-FPM, mod_php-мен Apache, php-cgi, LiteSpeed және FrankenPHP жатады. Олардың арасындағы айырмашылық — шабуылшы қанша жұмыс істеуі керек.

Сауда бизнесіңіз үшін WordPress, WooCommerce, Laravel, Magento, Magento-ға жақын ERP жүйелері немесе кез келген PHP брондау порталын хостингте ұстап жүрсеңіз, қолданба коды мінсіз болса да алғашқы үш жолға кіресіз. Рантаймды бастапқыда кім басқаруға тиіс деген кеңірек көзқарас үшін Түркиядағы IT-аутсорсинг туралы нұсқаулығымызды оқыңыз.

Нұсқаңызды екі минутта тексеріңіз

Мұндағы қауіп — нұсқа арифметикасында. Дистрибутивтер бірнеше жыл бойы PHP 8.3.6 немесе 8.2.x береді және қауіпсіздік жақтарын сол көрінетін нұсқа нөміріне кері қосады, сондықтан php -v жалғыз сіздің қорғалғаныңызды көрсете алмайды. Үш нәрсені салыстырыңыз.

1. Көрінетін PHP нұсқасы және трафикке қызмет көрсететін SAPI.

2. Дистрибутивтің пакет нұсқасы, upstream нұсқасы емес. Debian мен Ubuntu-да шын жауап — changelog; RPM жүйелерінде пакеттің changelog-ынан сұрау керек.

Егер changelog орнатылған нұсқада екі CVE-ді де атап өтсе, сіз жақталғансыз, дегенмен php -v әлі де 8.3.6 көрсетеді. Нақты қауіпсіздік жауабы мен нұсқа нөміріне деген сенім арасындағы айырмашылық — осы.

3. Жұмыс істеп тұрған процесс жақталған файлды қайта жүктеді ме. Қайта іске қосуды күтпейтін пакет жаңартуы ескі кодты жадта қалдырады. Қызметтің іске қосу уақыты мен пакетті орнату уақытын салыстырыңыз:

cPanel, Plesk, DirectAdmin немесе басқарылатын платформадағы баламасы — PHP таңдауышы және хосттің өз қауіпсіздік бюллетені: сайтқа шынымен тағайындалған кірістірілген нұсқаны анықтаңыз, панельде жарнамаланатын ең жаңасын емес. Хостіңіз жақтау күнін айта алмаса, сайтты жақталмаған деп санаңыз. Біздің цифрлық инфрақұрылым қызметтеріміз осы аудитті және жаңартудың өзін қамтиды; сонымен қатар стекіңізді жазып бізбен байланыса аласыз — біз тексеретін нәрселерімізді айтамыз.

Жөнделген нұсқалар және қолдаудың таусылуы

PHP тармағын екі жыл белсенді дамыту және тағы екі жыл қауіпсіздік жақтарымен қолдайды. Дәл осы саясат 21 қазанда төрт жаңартуды бірден шығарды — және осы саясат ескі тармақтарды өз бетінше қалдырады.

Хабарламадағы екі практикалық ескерту. Біріншіден: PHP-ді дистрибутивіңізден емес, қауымдастық репозиторийінен орнатсаңыз, ол қауіпсіздік терезесіне үлгере алмауы мүмкін: кең таралған Remi пакеттерінің қолдаушылары күн ішінде жаңартулар шықпайтынын мәлімдеген, сондықтан қауіпсіз жол — өз дистрибутивіңіздің пакеттері немесе көзден жинау. Екіншіден: PHP 8.1 немесе одан ескі нұсқада болсаңыз, «хостімізді күтеміз» деген — клиенттеріңіздің атынан қабылданатын қауіпсіздік шешімі; оны құжаттаңыз немесе өзгертіңіз.

Өндіріс серверін инцидентсіз жақтау

Бір минор ішіндегі қауіпсіздік жаңартулары қолданбаны сирек бұзады; сынақтан өтпеген қайта іске қосулар бұзады. Төмендегі реттілік — біздің сауда платформаларында қолданатын ретіміз; ол сайтты тәуекелге қоймай, қауіп терезесін қысқа ұстайды.

1. Алдымен сурет көшірмесі. Нақты сынап көрген гипервизор немесе диск көшірмесі бірнеше минутта қалпына келеді және жақтау туралы шешімді арзандатады.
2. Нұсқаны тест ортасында қайта жасаңыз. Тармақ, кеңейтулер, PHP конфигурация файлдары бірдей, өндіріс деректерінің көшірмесі. Тек басты бетті емес, төлем мен сұраныс жолдарын да тексеріңіз.
3. Пакеттер жиынын тұтас жаңартыңыз. Жаңартылған CLI-мен ескі FPM файлын араластыру — жақталған php -v мен жақталмаған web жолына жетудің жолы: apt-get update && apt-get install --only-upgrade 'php8.3-*' немесе RPM хосттарда dnf update --security 'php*'.
4. Сұрауларға қызмет көрсететін процесті қайта іске қосыңыз, содан кейін қайта іске қосылғанын тексеріңіз. systemctl restart php8.3-fpm (немесе Apache reload / LiteSpeed қайта іске қосу), содан кейін қызметтің іске қосу уақытын қайта қарап, нұсқа мен changelog сұрауларын тағы бір рет орындаңыз.
5. Бір сағат бойы қате журналын бақылаңыз. OOM хабарламалары, жаңа фатал қате ізтаңбалары мен қалыптан тыс 5xx деңгейі — төмендегі уақытша параметрлерді дәлдеу керек деген белгі; жаңартуды кейінге қалдырудың себебі емес.
6. Дәлелдерді жазыңыз. Пакет нұсқасы, екі CVE-ді атап өтетін changelog жолы, қайта іске қосу уақыты. Клиенттер, аудиторлар және ISO 27001 стиліндегі бақылауларды қарау дәл осыларды сұрайды, ал сақтауға он секунд кетеді.

Жаңарту кейінге қалуға мәжбүр болса — тексерілген ERP интеграциясы, шығарылым күнтізбесіндегі шектеу, клиент келісуінің шеңбері — сол күні-ақ алдына өтемдік бақылау қойыңыз, портты ашық қалдырып үміттенбеңіз. Дәл осы жағдай үшін ұлттық CERT-тардың хабарламалары солай кеңес берген: жақтауды бірден жасау мүмкін болмағанда, интернетке ашық PHP қолданбаларын қоғамдық желіден оқшаулаңыз.

Уақытша шаралар: терезені тарылтыңыз, жаппаңыз

PHP хабарламасы толық өтем жоқ екенін және жаңарту — жалғыз қауіпсіз таңдау екенін ашық айтады. Төмендегілерді апталық емес, күндік қорғаныс ретінде қолданба өзгерте алмайтын деңгейде қолданыңыз да, содан кейін барлық процестерді қайта іске қосыңыз.

CVE-2026-109618-ға қарсы (жад жолы)

• PHP-ге машиналық жадта таусылсын, өз шегінде емес: memory_limit = -1, мүмкін болса php_admin_value memory_limit = -1 түрінде, сонда қолданба коды шекті қайта қоймайды.
• Сұрау денелерін интерпретаторда шағын ұстаңыз: хабарламаның кеңесі — жүктеулер жоқ кезде шамамен 8 MB, бар кезде шамамен 32 MB, әрі upload_max_filesize post_max_size-тан төмен болсын.
• Қымбат шектерді прокси деңгейінде белгілеңіз, себебі залал желі өлшемінде емес, декодталған сұрауда жатыр: декодталған дененің жалпы өлшемі, енгізу өрістерінің саны, multipart бөліктерінің саны, тақырыптардың саны, тереңдік — және пайдалануға жарамайтын Content-Length келетін сұрауларды да қамтыңыз.
• Жарылу радиусын контейнер немесе cgroup жад шегімен шектеңіз: өлшемді сөндірілген процесс тұтастай хосттың емес, қолжетімділіктің оқиғасы болатындай етіп таңдаңыз. RLIMIT_AS немесе RLIMIT_DATA-ны орнына қоймаңыз: олар осал жолдағы дәл сол бөлу қатесін қоздырады.

CVE-2026-109619-ға қарсы (ескі күй жолы)

• Сессия жүктеу прогрессін өшіріңіз: session.upload_progress.enabled = 0, php.ini, FPM pool немесе сервер конфигурациясында — сұрауды талдаудан бұрын қолданылатын жерде. Содан кейін әрбір процесті қайта іске қосыңыз, себебі FPM бастапқы инициализацияланған модуль күйін сұраулар арасында бөліседі. ini_set() мен .user.ini кешігіп қалады.
• PHP 8.5-те fatal_error_backtraces = 0 орнатып, қайта іске қосыңыз.
• Жарамсыз немесе ескірген әрбір сұрауға тән параметрлерді алып тастаңыз — олар алғашқы инициализация кезінде диагностика шығарады. Хабарламаны error_reporting, display_errors немесе @ арқылы басу код жолын жоймайды.
• Шабуылшы жете алатын фатал қателер мен ұзақ таймауттарды жүктеу және импорт өңдеуіштерінде, кері шақыру кодында және тазарту процедураларында іздестіріңіз — екі ақау да дәл осы жерлерде тұрады.

Бастапқы сервер алдындағы CDN немесе WAF өз пайдасын береді: жиілік шектеу, аномал сұрау пішіндерін блоктау және виртуалды жақтау шуылды азайтады, кездейсоқ сканерлеуді бәсеңдетеді. Мақсатты шабуылшы үшін бұл баяулатқыш — хаттамада жаңарту ретінде қол қоюға жарайтын бақылау емес.

Бүгін хостинг ұсынушыдан нені сұрау керек

Қолдау қызметтері бұл сұрауға «бізде әрқашан жақтар тұр» деп жауап береді. Оның орнына құжаттай алатын дәлелдерді сұраңыз:

• Біздің аккаунтқа тағайындалған кірістірілген PHP нұсқасы және ол дистрибутив пакеті ме, әлде өндірушінікі ме.
• CVE-2026-109618 мен CVE-2026-109619 жақтарың сіздің паркіңізге жеткен күні және ішкі пакет нұсқасының атауы.
• Жақтың сайтқа қызмет көрсететін SAPI-ға (FPM, LiteSpeed, mod_php) және қалпына келтіруі мүмкін тест немесе сақтық түйіндеріне қатысы бар-жоғы.
• Платформа әлі жақталмаған болса: қандай өтемдік бақылау жұмыс істейді және қашанға дейін.
• EOL тармақтарына қатысты тұрақты саясат — 2027 жылғы 1 қаңтарда PHP 8.2 қауіпсіздік қолдауы тоқтағанда сайтіме не болады.

Осы бес сұрауға бір хатпен жауап беретін провайдер — сақтауға тұрарлық провайдер. Маркетинг мәтінімен айналма шешетіні — көшіруді талқылау сәті; дәл осы мұқияттық ISO 27001 саңылауларын бағалау жұмысымызда да қолданылады: нәтиже — сендіру емес, дәлел.

Бұзылған деп санау керек пе?

Автоматты түрде емес — бірақ болжамға сүйенбеңіз, тексеріңіз, әсіресе сервер жақталмай тұрған кезеңде қоғамдық интернетке ашық болса.

• Сіз жасамаған процестер, тыңдау порттары мен cron жазбаларын, сондай-ақ PHP процесс пайдаланушысынан кететін сыртқы қосылымдарды іздестіріңіз.
• Жазуға рұқсатты қолданба каталогтарын орнату бастапқы көзімен салыстырыңыз: жаңа PHP файлдары, өзгертілген жүктеу каталогтары, күтпеген орындалатын уақытша қалталар.
• Web-журналдардан ашықтану сағаттарына жақын сұрау дауылдарын, аномал үлкен multipart денелерін немесе PHP қате журналында OOM ізі бар 500 жауаптарды іздестіріңіз.
• Жақталған файл шынымен жүріп тұрғанын тексеріңіз — мұны жоғарыдағы қайта іске қосу уақытын салыстыру шешеді.
• Егер бірдеңе дұрыс емес болып көрінсе, оны инцидент деп қараңыз: дискі мен журналдарды сақтаңыз, қолданба оқи алатын барлық тіркелгі деректерін ауыстырыңыз және белгілі жақсы бейненен қайта құрыңыз. Бұзылған хост үстінен PHP пакетін қайта орнату — қалпына келтіру емес.

Өз инфрақұрылымымыздан алынған нақты мысал

Worldwidetradex.com бізде Ubuntu 24.04 LTS, nginx және PHP-FPM-де жүр, сондықтан 22 қазанда жоғарыдағы тексерістерді өзімізге қолдандық. Нәтижелер нұсқа арифметикасының неге маңызды екенін жақсы көрсетеді:

Сабақ кез келген стекке қатысты: қауіпсіздік деңгейіңіз — пакет нұсқасы, changelog және қайта іске қосу, хостинг панеліндегі маркетингтік нұсқа жолы емес.

Жақтауды батылдықтан гөрі үйреншікті етіңіз

PHP2Shell өзгеше болғаны үшін емес, интернеттің көп бөлігі жүретін интерпретаторда аутентификациядан бұрынғы сыни ақау болып, мыңдаған хосттың сағаттар ішінде жауап беруге мәжбүр болғаны үшін есте қалды. Оны ұйқыда өткізген командалар бакқа байланбаған — оларда автоматтандыру болған.

• Интерпретатор үшін қадағаланатын қауіпсіздік жаңартулары: нұсқа мен қайта іске қосу уақыты автоматты жазылып отырады.
• Әрбір сайттың қай SAPI мен қай PHP тармағын қолданатынын білетін инвентарь — тест орталары, сақтық көшірмелері және 2019 жылғы сол бір WordPress те кіреді.
• Жаттықтырылған қалпына келтіру жолы, онда «қазір жақтаймыз» ешқашан «қайтадан шегіне алмаймыз» дегенмен таразыланбайды.
• Тармақ жоспары: келесі он екі ай ішінде қауіпсіздік қолдауы тоқтайтын PHP шығарылымында ештеңе тұрмайды.
• Әрбір серверге атап белгіленген иесі және жақтау шаршы күні сағат 14:00 UTC шыққандағы жазбаша эскалация жолы.

Бұл қабілетті адаммен қамтығыңыз келмесе, біз өндірістік PHP платформаларын — жақтау мерзімділігі, мониторинг, сақтық көшірмелері мен құжатталған қалпына келтірулерді — басқарылатын инфрақұрылым жұмысымыздың бөлігі ретінде өз жауапкершілігімізге аламыз. Қысқа тапсырма мен көлемдермен бастаңыз: баға сұраңыз.

Жиі қойылатын сұрақтар

Дереккөздер

• PHP — security advisory "Critical remote code execution vulnerabilities, update now" және 2026 жылғы 21 қазандағы шығарылым хабарламалары, оның ішінде өтем кеңестері мен supported versions бетіндегі қолдау мерзімі.
• PHP репозиторийі үшін GitHub Security Advisories: GHSA-w8hw-w9fx-j79w (CVE-2026-109618) және GHSA-6wmf-4rv5-p3rp (CVE-2026-109619).
• CERT-EU — Security Advisory 2026-018, "Critical Vulnerabilities in PHP", екі CVE-ді де атап өтетін хабарлама.
• Infosecurity Magazine — "Critical PHP Vulnerabilities Leaked Ahead of Scheduled Security Patches" (2026 жылғы 21 қазан) және "PHP2Shell Exploitation Attempt Detected by Amazon Four Days Before Vulnerability Disclosure" (2026 жылғы 22 қазан).

Жаңартуды сіздің орныңызда жасауын қалайсыз ба? Жақтау, нұсқалар аудиті, басқарылатын және жақталған PHP платформасына көшу немесе оның айналасындағы инфрақұрылым туралы кеңесу үшін бізбен байланысыңыз немесе +90 505 679 78 03 нөміріне қоңырау шалыңыз.