Сигурност на уеб приложения и уроците на PHP2Shell за начинаещи

Сигурност на уеб приложения изглежда като тема за напреднали, докато през октомври 2026 г. не се оказа, че грешка в самия PHP засяга всеки сайт, който го ползва. Двата пробива, наречени PHP2Shell, получават оценка 9,2 по скалата CVSS v4.0 (Recorded Future). PHP е зад около 70% от уебсайтовете (BleepingComputer). Ако учите бекенд програмиране, този случай е най-добрият пример защо сигурността не е допълнение, а част от занаята.

Какво е PHP2Shell и защо засяга и добрия код

PHP2Shell е името на две уязвимости с номера CVE-2026-109618 и CVE-2026-109619 (Recorded Future). И двете са грешки в паметта на самия PHP, а не в чужд приложен код. Затова най-акуратно написаната програма не помага, ако под нея работи нелатната версия на PHP.

Едната грешка възниква, когато PHP остане без памет и прекъсне обработката на заявката без обичайното почистване (Akamai). Другата е свързана със следене на качването на файлове и с памет, която вече е освободена, но все още се използва. И в двата случая нападателят може да подмени данни в паметта и да накара сървъра да изпълни негов код.

Наш извод: това е урок по различие между „моя код“ и „среда, на която разчитам“. Начинаещият обикновено се пази от грешки в собствените си формуляри. PHP2Shell показва, че част от отговорността е и да знаете какво работи под приложението.

Как се развиха събитията седмица по седмица

Хронологията е важна, защото показва колко малко време остава между публичното разкриване и първите атаки.

Източник: Recorded Future, CISA (Recorded Future, CISA)

Изчислено от датите: между първото съобщение до PHP и излизането на поправката минават 58 дни, по наше изчисление по данни на Recorded Future (Recorded Future). След това на защитниците остават дни, а не месеци. Един от доставчиците на защита съобщава, че е засякъл опит за атака още на 17 октомври, четири дни преди поправките (BleepingComputer). Част от подробностите изтичат преди официалното издаване.

Кои версии на PHP са поправени

Поправени са клоновете 8.2.35, 8.3.36, 8.4.27 и 8.5.12 (Recorded Future). Страницата на PHP за 8.5.12 я описва като версия за сигурност и призовава всички потребители на 8.5 да надстроят (PHP.net). По-старите клонове не са покрити от тези поправки и не бива да се смятат за безопасни.

Именно тук е най-неприятната част от картината. Според Modat около 79% от услугите, при които се вижда версията, работят на клонове, които вече не се поддържат (Recorded Future). По данни на VirusTotal около 758 000 адреса с известна версия използват клонове от 5.4 до 8.1, а само около 272 000 са на поддържани. За начинаещия изводът е практичен: когато избирате урок или готов проект, проверете коя версия на езика ползва, преди да го приемете за образец.

Колко реални са атаките

Потвърдена експлоатация има. Изследовател записва изпълнение на команди върху подготвен сървър с Apache и PHP 8.4.26, като тестът е с една работна нишка и надеждността в други конфигурации не е измерена (BleepingComputer). CISA добавя двете уязвимости в каталога си на 26 октомври 2026 г. (CISA). Wordfence съобщава за над 74 000 блокирани опита до 22 октомври (Hostinger).

Има и предпазливост, която е полезна за четене на новини. Една компания оттегля връзката между атака срещу европейска правителствена институция и PHP2Shell (Hostinger). Към 26 октомври публично не е потвърдено успешно проникване в конкретен сайт. Затова заглавията за „свалени сайтове по света“ трябва да се четат внимателно. Пълният мащаб на успешните атаки засега не е известен (Recorded Future).

Какво трябва да знае начинаещият за сигурност още в първите месеци

Не е нужно да сте специалист, за да усвоите няколко навика. Обновявайте средата, не само кода (Hostinger). Не оставяйте забравени административни страници като phpMyAdmin на публично достъпен сървър. Чувайте за настройките по подразбиране: функцията за следене на качването на файлове е включена по подразбиране, а при част от атаките е нужна само страница, която приема файл, дори да го игнорира (Akamai).

Свързана, но отделна уязвимост, CVE-2026-115560, към момента няма поправка и засяга само необичайна комбинация от настройки и код (BleepingComputer). Мярката е изключване на session.upload_progress.enabled и рестартиране на работните процеси на PHP (Hostinger). Ако сте възприели програмирането като писане на функции, това е полезно напомняне, че конфигурацията също е код.

Ако още избирате посока, прегледайте как се различават уеб и мобилните приложения, защото сървърната част е само при първите. Пътната карта за първата година е добра база, а към нея си заложете и време за основи на сигурността.

Как да проверите собствения си сайт или учебен проект още днес

Ако имате сайт на споделен хостинг, отговорността за PHP обикновено е на хостинг доставчика; проверете страницата му за състоянието на услугата или питайте поддръжката (Hostinger). Някои доставчици показват дата на изграждане на версията и тя трябва да е 21 октомври 2026 г. или по-нова. На собствен виртуален сървър обновяването и рестартирането са ваша работа и покриват всяко приложение на машината.

На локалния си компютър изпълнете php -v и сравнете резултата с поправените версии (PHP.net). Ако сте на 8.1 или по-стара, надстройте до поддържан клон, защото за тях няма официална поправка (Hostinger). Следете страницата на PHP за новини и каталога на CISA за експлоатирани уязвимости, като втората не заменя първата (CISA). Ако сте открили признаци на проникване, сменете паролите и ключовете, а в журналите търсете от 20 октомври нататък (Recorded Future).