PHP2Shell: IT-инфрақұрылым аудиті неге дәл қазір қажет

2026 жылғы 21 қазанда PHP әзірлеушілері PHP2Shell деген ортақ атаумен екі сыни қатені жоятын 8.5.12, 8.4.27, 8.3.36 және 8.2.35 жоспардан тыс нұсқаларын шығарды. Көптеген компаниялар үшін бұл IT-инфрақұрылым аудитін жүргізуге жақсы себеп: PHP көбінесе кеңседе әлдеқашан ұмытылған жерлерде жұмыс істейді.

PHP-де нақты не табылды

Қателерге CVE-2026-109618 және CVE-2026-109619 нөмірлері берілді. Біріншісі сұрау жадының лимитін сәтсіз сәтте таусып қойғанда пайда болады: қызметтік құрылымдар жартылай толтырылған күйде қалады, ал сұрауды аяқтау кезеңінде интерпретатор олармен дұрыс құрылымдармен сияқты жұмыс істеуді жалғастырады. Екіншісі өлімге әкелетін қатемен байланысты, одан кейін өңдеуші процесс босатылған жадқа сілтемені сақтап, оны келесі сұрауда пайдалануы мүмкін. Екі жағдайда да нәтиже бір: логин мен парольсіз бөгде адам серверде өз кодын іске қоса алады.

PHP командасының деректері бойынша, веб-сұрауларды өңдейтін барлық орнатулар зардап шегеді: PHP-FPM, mod_php бар Apache, php-cgi, FrankenPHP және LiteSpeed. Ең қауіптісі — mod_php бар Apache нұсқасы, онда шабуыл сайттың өз коды іске қосылғанға дейін-ақ іске асады. Баптаулар тек жекелеген шабуыл жолдарын тарылтады, мәселені шын мәнінде тек жаңарту жабады. 8.1 және одан ертерек тармақтарды жоба енді сүйемелдемейді. Америкалық CISA агенттігі сол күні ескерту шығарып, ұйымдарды түзетулерді кідіріссіз орнатуға шақырды.

Неліктен бұл Беларусьтегі компаниялар үшін маңызды

PHP — тек WordPress-тегі сайт емес. Оның негізінде көбінесе интернет-дүкен, клиенттің жеке кабинеті, өтінімдер жүйесі, ішкі портал, сондай-ақ желілік қоймалар мен басқа жабдықтың веб-интерфейстері құрылған. Көбінесе мұндай сервисті бір кезде мердігер баптаған, ал қазір оның нұсқасын ешкім білмейді. CISA PHP бар барлық жүйелердің тізбесін жасауды бөлек кеңес береді, өйткені ол дайын өнімдерге жиі ендірілген және сырттан байқалмайды.

Виртуалды хостингте пакеттерді әдетте провайдер жаңартады, бірақ панельдегі PHP нұсқасын иесі таңдайды. өз сервері немесе VPS бұл сіздің немесе мердігердің міндеті.

IT-инфрақұрылым аудиті: жақын күндері не істеу керек

PHP жұмыс істейтін барлық жерді табу

Сайттарды, ішкі домендерді, сынақ көшірмелерін, порталдарды және веб-интерфейсі бар құрылғыларды тізіп шығыңыз. Әр тармақ үшін нұсқасын және жауапты адамды жазыңыз.

Жаңарту немесе уақытша жабу

Түзетілген нұсқаларды немесе Linux дистрибутивіңіз жеткізушісінің пакеттерін орнатыңыз. Бірден жаңарту мүмкін емес нәрсені ашық қолжетімділіктен уақытша алып тастаңыз.

Бұзу іздерін іздеу

Веб-сервер журналдарын, сайттағы жаңа файлдарды және бейтаныс есептік жазбаларды тексеріңіз.

Осындай түгендеуден басталады IT-инфрақұрылым аудиті ITS-те: біз жабдықты, серверлер мен бағдарламаларды сипаттаймыз, ескірген құрамдас бөліктерді табамыз және тәуекелдер мен басымдықтар көрсетілген есепті береміз. Сайтты басқару жүйесімен ұқсас жағдай туралы біз мына жаңалықта айтқанбыз: WordPress 7.1.3 жаңартуы. Серверлердің жай-күйін тұрақты бақылауға мына қызмет көмектеседі: мониторинг.

Дереккөз: 21.10.2026 жылғы PHP қауіпсіздік бюллетені; сондай-ақ қараңыз: CISA ескертуі.

Сұрақтар мен жауаптар

Сайтымыздағы PHP нұсқасын қалай білуге болады?

Оны хостингті басқару панелі, ал жеке серверде — php -v командасы көрсетеді. Қолжетімділік болмаса, деректерді мердігерден сұраңыз немесе бізге support@its.by мекенжайына жазыңыз.

Жаңартусыз болуға бола ма?

Жоқ. PHP әзірлеушілері қосымша баптаулар тек шабуыл жолдарының санын азайтатынын, ал сенімді шешім біреу — түзетілген нұсқа екенін атап өтеді.

Аудит кезінде компания жұмысын тоқтату керек пе?

Жоқ. Зерттеу қызметкерлердің жұмысын тоқтатпай өтеді, ал қорытынды есеп сізде қалады.