PHP howpsuzlyk täzelenmesi 2026: PHP2Shell CVSS 9.2 düzeltme gollanmasy

Öz açyklamasy hem adaty däldi. 20-nji oktýabrda PHP-iň howpsuzlyk topary öňünden duýduryş çap etdi, çykarylyşy 21-nji oktýabr sagat 14:00 UTC diýip belledi we bellenen wagtdan iräk çykmaga hukugyny saklady. CVE identifikatorlary açyklamadan bir gün öň, howp derejesi we zaýyp wersiýalar baradaky şişirilen maglumatlar bilen bilelikde düşüpdi. Distributiwlar ýamalary öňünden alan eken, milli CERT-ler bolsa kod entek ýaýratylmanka ýolbaşçylyk çap etmäne başlapdyrlar. Beýle aýdanymyzda: täzelenme çykarylandan soň hiç kim geçikmegiň kanagatly sebäbi ýok eken.

Iki kemçilik, bir gyssagly çykarylyş

Bu iki kemçilik hem programmanyň logikasyndaky näsazlyk däl. Ikesi PHP-iň bir islegi taýýarlamak we ýapmak tertibinde ýerleşýär; şoň üçin hiç bir framework täzelenmesi, plagin täzelenmesi ýa-da WAF düzgüni PHP-iň öz täzelenmesini ýerine basyp bilmeýär.

CVE-2026-109618 — ýat ýetmezligi ýolynyň üstündäki RCE. PHP ýady ýetmedik mahaly islegi dowam etmezden ybra edýär. Habarnama şeýle ýoly düşündirýär: ýybra PHP-i şol wagt tutýar, edil şonda islegiň içki maglumatlary diňe ýarym başlangyç edinýär, soňra islegi arassalaýan ädim nädogry maglumaty dogry hökmünde kabul edýär. Ýadyň ulanylyşyny çäge ýetirip bilýän hüjümçi şondan soň näme boljakdygyna täsir edip biler. Şu kemçilik howpsuzlyk çäreleriniň maslahatlaryny garaşsyzlykly edýär: öndüriji administratory PHP-iň öz ýat çägine ýetmeginden saklamaga çagyrýar, çägni daraltmaga däl.

CVE-2026-109619 — galan global ýagdaý ýolynyň üstündäki RCE. Bir isege degişli içki ýagdaý, onuň ýady boşadylansoň hem galyp biler. Şol bir işçi prosesindeki ileriki iseg adaty başlangyç ony düzmezinden ozal şol galan ýagdaýy ulanyp biler. Uzak wagt işleýän işçi prosesinde — PHP-FPM, mod_php we LiteSpeed şeýledir — ýadyň gaýtadan ulanylmagy adaty hem-de hemişeklik ýagdaý; şoň üçin bu kemçilik seýrek gurluşyklaryň aýratyn meselasi däl.

PHP2Shell ady PHP proýektiniň resmi bellügi däl; bu ady derjijiler we howpsuzlyk kompaniýalary goýdy we ýapyşdy. Şoň üçün ony skanerleriň çykyşynda, hostingleriň habarnamalarynda we CERT-leriň ýolbaşçylyklarynda görersiňiz — ol hökmany şu iki CVE-a degişlidir.

Hakikatdanam kim howp astynda

Habarnama açyk aýdýar: web iseglerine hyzmat edýän hemme PHP gurnama howp astyndadyr. Oňa nginx ýa-da Apache arkaly PHP-FPM, mod_php bilen Apache, php-cgi, LiteSpeed we FrankenPHP degişlidir. Olaryň arasyndaky tapgyr şudur: hüjümçi näçe köp iş bermeli.

Söwda işiňiz üçin WordPress, WooCommerce, Laravel, Magento, Magento-a ýakyn ERP ulgamlary ýa-da islendik PHP bron ediş portalyyny host edýän bolsaňyz, programmanyň kody kämil bolsa-da, tablisanyň ilkinji üç setirine girýärsiňiz. İş düzgünini (runtime) ilkinji nobatda kimiň eýelemelidigi barada has giňişleýin garaýyş üçin Türkiýede IT autsorsingi baradaky gollanmamyza serediň.

Wersiýaňyzy iki minutda barlaň

Ýerduzy şu ýerde wersiýa arifmetikasydyr. Ulgamlar PHP 8.3.6 ýa-da 8.2.x wersiýalaryny ýyllar bäri ýaýradýarlar we howpsuzlyk düzeltmelerini şol bir görünýän wersiýa belgisine geçirip goýberýärler, şoň üçin diňe php -v siziň goraglydygyňyzy ýa-da goragsyzdygyňyzy aýdyp bilmeýär. Üç zady deňeşdiriň.

1. Görünýän PHP wersiýasy we trafige hyzmat edýän SAPI.

2. Upstream wersiýasy däl, ulgam paketiniň wersiýasy. Debian we Ubuntu-da dogruçyl jogap üýtgeşmeler sanawydyr; RPM ulgamlarynda bolsa paketiň üýtgeşmeler sanawyny soraň.

Eger üýtgeşmeler sanawy gurnalan wersiýada iki CVE-den-de bahalansa, php -v entek 8.3.6 diýýän bolsa-da, siz düzeldilensiňiz. Hakyky howpsuzlyk jogaby bilen diňe wersiýa belgisine ynanmagyň arasyndaky tapgyr şudur.

3. Işleýän prosesiň düzeldilen binar faýlyny täzeden ýüklenendigi. Soňy täzeden işe girizmek bilen izleşmeýän paket täzelemesi köne kody ýatda galdirýar. Gullugyň işe girizilen wagtyny paketiň gurnalan wagty bilen deňeşdiriň:

cPanel, Plesk, DirectAdmin ýa-da dolandyrylýan platformada munuň deňi — PHP saýlaýjysy we hostingiň öz howpsuzlyk habarnamasy: panelde öwlen iň täze wersiýa däl, sahypaňyza hakykatdan-da berlen goýulan wersiýany kesgitläň. Hostingiňiz düzeltme senasyny aýdyp bilmeýän bolsa, sahypany düzeldilmedik hasaplaň. Sanly infragurluşyk hyzmatlarymyz şu barlagy hem-de täzelenmäni öz içine alýar; şeýle hem biz bilen habarlaşyp, tehnologiýa toplumiňyzy aýdyp bilersiňiz — näme barlajakdygyny size aýdyrys.

Düzeldilen wersiýalar we goldawyň kesilmegi

PHP bir branşa iki ýyl işjeň ösüş, soňra ýene iki ýyl howpsuzlyk düzeltmeleri boýunça goldaw berýär. Şu syýasat 21-nji oktýabrda bir wagtda dört düzeltmäni ýetirdi — hem-de şol bir syýasat köne branşlary özbaşdak goýýar.

Habarnamadan iki amaly duýduryş. Birinjiden, PHP-i ulgamyňyzyň paketlerinden däl-de, jemgyýetçilik repozitoriýasyndan gurnasaňyz, ol repozitoriýa howpsuzlyk penjiresiniň yzynda galyp biler: giňden ulanylýan Remi paketleriniň eýeleri şol gün täzelenmeleriň bolmajakdygyny aýtdylar, şoň üçin howpsuz ýol — ulgamyňyzyň paketleri ýa-da çeşmeden gurluşdur. Ikinjiden, PHP 8.1 ýa-da has köne wersiýada bolsaňyz, "hostingimizi garaşarys" diýmek — müşderileriňiziň adyndan edýän howpsuzlyk karyňyzdyr: ýa ony resmileşdiriň, ýa üýtgediň.

Işleýiş serwerini wakasyz düzeltmek

Şol bir minordaky howpsuzlyk täzelenmeleri seýrek programmany bozýar; synagdan geçirilmedik täzeden işe girizmeler bozýar. Aşakdaky tertip biz işleýän söwda platformalarynda ulanýan tertibimizdir — ol howp penjiresini gysga saklaýar, sahypa bahsa goýmazdan.

1. Ilki bilen surat nusgasy. Hakykatdan synagdan geçirip gören giperwizor ýa-da disk surat nusgasy minutlaryň içinde dikeldilýär we düzeltme karyny arzan edýär.
2. Wersiýany synag gurşawynda gaýtadan dörediň. Şol bir branş, şol bir giňeltmeler, şol bir PHP sazlam faýllary, işleýiş maglumatlarynyň nusgasy. Diňe baş sahypany däl — satyn alyş (checkout), baha soraşy we töleg ýollaryny işlediň.
3. Paket toplumyny bir bölek hökmünde täzeläň. Täzelenen CLI bilen köne FPM binar faýlyny garyşdyrmak — adamlaryň düzeldilen php -v we düzeldilmedik web ýoly bilen galyp gitmekleriniň esasy sebäbidir: apt-get update && apt-get install --only-upgrade 'php8.3-*', ýa-da RPM serwerlerinde dnf update --security 'php*'.
4. Isleglere hyzmat edýän prosesi täzeden işe giriziň, soňra işe girizilendigini barlaň. systemctl restart php8.3-fpm (ýa-da Apache-y täzeden ýükläň / LiteSpeed-i täzeden işe giriziň), soňra gullugyň işe girizilen wagtyny ýene barlaň we wersiýa hem üýtgeşmeler sanawy soraşlaryny ýene bir gezek işlediň.
5. Säwlik žurnalyny bir sagatläp gözegçilikde saklaň. OOM habarlary, täze ölümcil säwlik yzları we adaty bolmadyk 5xx paýlary — aşakdaky howpy azaltmak sazlamalarynyň sazlanmaly bolup bilinýän nyşanlarydyr, täzelenmäni gijikdirmegiň sebäpleri däl.
6. Subutnamany ýazyp goýuň. Paket wersiýasy, iki CVE-ni bahalaýan üýtgeşmeler sanawy setiri, täzeden işe girizilen wagt. Müşderiler, auditorlar we ISO 27001 görnüşli gözegçilik barlaglary takyk şuny soraýarlar — ony ýazyp goýmaga on sekunt ýeterlikdir.

Täzelenmäniň garaşmaly bolan ýagdaýlarynda — tassyklanan ERP integrasiýasy, gizlin tutulýan goýberim seneleri, müşderiniň tassyklaw aýlawy — porty açyk goýyp ümitlenmezden, şol gün onuň öňüne gaplaýjy gözegçilik çäresini goýuň. Milli CERT-leriň maslahatlary takyk şu ýagdaý üçin şuny teklip edýärdi: derrew düzeltmek mümkin bolmadyk ýagdaýlarda internete açyk PHP programmalaryny umumy toreden aýratyn saklamaly.

Wagtlaýyn çäreler: penjireni daraldýarlar, ýapmaýarlar

PHP habarnamasy açyk aýdýar: doly howp azaltmak ýok, diňe täzelemek howpsuz saýlawdyr. Aşakdakylary hepde däl, gün hasaplanan gorag hökmünde garaň; olary programmanyň üýtgedip bilmeýän derejesinde durmuşa geçiräň we soňra her bir işçini täzeden işe giriziň.

CVE-2026-109618 belgisine garşy (ýat ýetmezçilik ýoly)

• PHP-e öz çäginiň ýerine maşynyň ýadynyň tükenmäge rugsat beriň: memory_limit = -1, idealy php_admin_value memory_limit = -1 hökmünde, şu wagt programma kody çäge yzyna goýup bilmez.
• Islegleriň göwrülerini interpretatora kiçi saklaň: habarnamanyň gollanmasy ýüklemeler bolmadyk ýagdaýda takmynan 8 MB, bolan ýagdaýda takmynan 32 MB hökmünde görkezýär, upload_max_filesize post_max_size-dan aşakda bolsun.
• Agyr çäkleri prokside berjaý ediň, sebäbi zyýan geçirilen möçberde däl-de, çözülen islegiň içindedir: çözülen göwriň umumy ululygy, girizme meýdanlarynyň sany, multipart bölekleriniň sany, sözbaşylaryň sany, iç-içine düzülişiniň çuňlugy — hem-de ulanmaga ýaramly Content-Length ýok bolan islegleri öz içine alsyn.
• Zyýanyň ýaýran meýdanyny konteýner ýa-da cgroup ýat çägi bilen çäklendiriň: öldürilen işçi elýeterlilik wakasy bolsun, serwer wakasy däl. RLIMIT_AS ýa-da RLIMIT_DATA ulanmaň: olar takyk zaýaly ýolda ýerleşýän ýat bölünmeginiň (allocation) şowsuzlygynyň özünü döredýärler.

CVE-2026-109619 belgisine garşy (köne ýagdaý ýoly)

• Sessiýa ýükleme ösüşini session.upload_progress.enabled = 0 bilen öçüriň, php.ini-de, FPM pulda ýa-da serwer sazlamalarynda düzüň — isleg derňewlenilmeginden öň täsir edýän ýerde. Soňra her bir işçini täzeden işe giriziň, sebäbi FPM islegleriň arasynda eýýäm taýýarlanan modul ýagdaýyny paşlaýar. ini_set() we .user.ini kömek etmäge gijä galýarlar.
• PHP 8.5-de fatal_error_backtraces = 0 düzüň we täzeden işe giriziň.
• Islege degişli, nädogry ýa-da goldawlanmaýan sebäpli başlangyç düzüliş döwründe duýduryş çykarýan sazlamalary aýyryň. Habary error_reporting, display_errors ýa-da @ bilen ýatyrmak kod ýoluny aýyrmaýar.
• Hüjümçiniň elýetip bilýän ölümcil säwliklerini we uzak çekýän wagt aşmalaryny ýükleme we import işleýjilerinde, çagyryş kodlarynda we arassalaýjy proseduralarda gözläň — iki zaýanyň ikisi-de şol ýerlerde ýaşaýar.

Esas serweriň öňünde duran CDN ýa-da WAF öz bahanasyny gazanýar: islegleriň sanyny çäklendirmek, adaty bolmadyk isleg görnüşlerini blokirlemek we wirtual düzeltme köwüşigi peseldýär, oňaýly skanlamany haýaladýar. Olar maksatly hüjümçi üçin diňe haýaladýjy päsgelçilikdir, düzeltme hökmünde gol çekilip bilinjek gözegçilik däl.

Hosting üpjünçisiňizden şu gün soraljak soraglar

Goldaw gullugynyň şablon jogaby "biz hemişe düzeldilýäris" diýmekdir. Şunuň ýerine resmileşdirip goýup bilýän subutnamany soraň:

• Biziň hasabymyza berlen goýulan PHP wersiýasy, hem-de onuň ulgam paketimi ýa-da üpjünijiniň öz gurluşymydygy
• CVE-2026-109618 we CVE-2026-109619 düzeltmeleriniň serwer toplumyňyza ýeten senesi, içki paket wersiýa setiri bilen
• Düzeltmäniň biziň sahypamyza hyzmat edýän SAPI-a (FPM, LiteSpeed, mod_php) hem-de dikeldip bilýän synag ýa-da ehtiýat düwünlerimize degişli bolup bilýändigini
• Eger platforma entek düzeldilmedik bolsa: haýsy gaplaýjy gözegçilik bar we haçana çenli
• Goldawy tamamlanan branşlar baradaky hemişelik syýasatyňyz — PHP 8.2-iň howpsuzlyk goldawy bes bolýan 2027-njy ýylyň 1-nji ýanwarynda meniň sahypama näme bolýar?

Şu bäş soragy bir e-poçtada jogap berýän üpjünçi — saklamaga mynasyp üpjünçidir. Bazarçylyk tekstimine gaýdyp gelen üpjünçi migrasiýa söhbetiniň sebäbidir; ISO 27001 boşluk barlagy işlerimizdäki ýaly jiddilikdäki barlag bu ýerde-de ulanylýar — netijede tabşyrylýan zat rahatlandyryş däl, subutnamadyr.

Serweriňiziň buzaýylandygyny kabul etmeli mi?

Hökmany däl — emma çaklamak ýerine barlaň, aýratyn-da serwer sizin düzeltmäňizden öň penjire döwründe umumy internete açyk bolsa.

• Siziň döretmedik prosesleri, diňleýjileri we cron ýazgularyny, hem-de PHP işçi ulanyjysyndan daşarky çykýan birikmeleri gözläň.
• Ýazylmaga ýaramly programma kataloglaryny asyl nusga çeşmesi bilen deňeşdiriň (diff): täze PHP faýllary, üýtgedilen ýükleme kataloglary, garaşylmadyk ýerde işjeň wagtlaýyn papkalar.
• Web žurnallarynda açyklanmagyň sagatlarynyň töwereginde isleg joşgunlaryny, adaty bolmadyk uly multipart göwrülerini ýa-da PHP säwlik žurnalynda OOM yzlary bilen 500 gaýdyp gelen islegleri gözläň.
• Düzeldilen binar faýlyň hakykatdan-da işleýändigini barlaň — ýokardaky täzeden işe girizilen wagtynyň deňeşdirilmegi oňa jogap berýär.
• Eger bir zat nädogry görünse, ony waka hökmünde hasaplaň: diski we žurnallary saklaň, programmanyň okap bilýän her bir giriş maglumatyny çalyşdyryň we belli bir sagdyn şekilden täzeden guruň. Buzaýylan serwere PHP paketini täzeden gurmak düzeltmek däl.

Öz infragurluşymyzdan işlenen mysal

Biz worldwidetradex.com sahypasyny nginx we PHP-FPM bilen Ubuntu 24.04 LTS üstünde işledýäris, şoň üçin 22-nji oktýabrda ýokardaky barlaglary özümizde geçirdik. Netijeler wersiýa arifmetikasynyň näme üçin möhüm diýigini gowy görkezýär:

Ders islendik tehnologiýa toplumyna geçerlikli: howpsuzlyk ýagdaýyňyz — paket wersiýasy, üýtgeşmeler sanawy we täzeden işe girizmek; hosting panelindäki bazarçylyk wersiýa setiri däl.

Düzeltmäni gahrymançylyk däl, adaty işe öwürüň

PHP2Shell özboluşly bolany üçin ýatda galmaýar; web-iň köp böleginiň işledýän interpretatorynda agyr, giriş tertibinden öň bolan zaýa bardy we müňlerçe host birnäçe sagadyň içinde jogap bermeli boldy — şoň üçin ýatda galýar. Ony ukyda geçirýän toparlar bagtly däldi — olaryň awtomatlaşdyrmalary bardy.

• Interpretator üçin adam gözegçiligini talap etmeýän howpsuzlyk täzelenmeleri, wersiýasy we täzeden işe girizilen wagty awtomatiki ýazylmak bilen.
• Her bir sahypanyň haýsy SAPI we haýsy PHP branşyny ulanýandygyny bilýän sanaw — synag gurşawlaryny, ehtiýat nusgalary we 2019-njy ýyldan galan şol bir WordPress-i hem öz içine alýan.
• Synagdan geçirilen dikeldiş ýoly: "häzir düzelt" hiç haçan "biz yza gaýdyp bilmeris" bilen deňeşdirilmesin.
• Branş meýilnamasy: howpsuzlyk goldawy indiki on iki aýyň içinde tamamlanýan PHP goýberiminde hiç zat işlemeli däl.
• Her serwere at bilen bellikli bir jogapkär we düzeltmäniň çärşenbe günü UTC boýunça 14:00-da düşýän günleri üçin ýazgyly eskalasiýa ýoly.

Şu ukyby adam tutmak ýerine satyn almak isleseňiz, biz işleýiş PHP platformalaryny — düzeltme tertibi, gözegçilik, ehtiýat nusgalar we resmileşdirilen dikeldişler — dolandyrylýan infragurluşyk işimiziň bölegi hökmünde öz jogapkärligimize alýarys. Gysga tabşyryk we möçberlerden başlaň: baha soraň.

Köp soraýan soraglar

Çeşmeler

• PHP — "Kritik uzakdan kod ýerine ýetirmek zaýalary, häzir täzeläň" atly howpsuzlyk habarnamasy we 2026-njy ýylyň 21-nji oktýabryndaky goýberim habarlary; olaryň içinde howpy azaltmak gollanmasy hem-de goldawlanylýan wersiýalar sahypasyndaky goldaw wagt çyzygy bar.
• PHP repozitoriýasy üçin GitHub howpsuzlyk habarnamalary: GHSA-w8hw-w9fx-j79w (CVE-2026-109618) we GHSA-6wmf-4rv5-p3rp (CVE-2026-109619).
• CERT-EU — Howpsuzlyk Habarnamasy 2026-018, "PHP-däki kritik zaýalyklar", iki CVE-ni hem atlandyrýan.
• Infosecurity Magazine — "Planlaşdyrylan howpsuzlyk düzeltmelerinden öň kritik PHP zaýalary akyp çykdy" (2026-njy ýylyň 21-nji oktýabry) we "Zaýa açyklanmazdan dört gün öň Amazon tarapyndan anyklanan PHP2Shell peýdalanmak synanyşygy" (2026-njy ýylyň 22-nji oktýabry).

Täzelenmäni siziň üçin ýerine ýetirilmegini isleýärsiňizmi? Düzeltmek, wersiýa barlagy, dolandyrylýan we düzeldilen PHP platformasyna geçiş ýa-da onuň daşyndaky infragurluşyk barada maslahatlaşmak üçin biz bilen habarlaşyň ýa-da +90 505 679 78 03 belgisine jaň ediň.