2026 жылғы 21 қазанда PHP әзірлеушілері қауіпсіздікке арналған шұғыл жаңартулар шығарды. Бұған CVE-2026-109618 және CVE-2026-109619 деп белгіленген, PHP2Shell деген бейресми ортақ атауға ие болған екі аса қауіпті осалдық себеп болды.
Екі осалдық та CVSS v4.0 жүйесі бойынша 9,2 балл алды. Белгілі бір жағдайларда олар шабуылдаушыға алдын ала авторизациядан өтпестен серверде өз кодын орындауға мүмкіндік береді.
Ескерту хабарламаларын PHP әзірлеушілері, Қазақстанның компьютерлік инциденттерге әрекет ету ұлттық қызметі KZ-CERT және киберқауіпсіздік саласындағы басқа да ұйымдар жариялады.
Мәселе WordPress-тің өзінен емес, тікелей PHP-ден анықталды. Сондықтан тақырыпты, плагиндерді немесе CMS-тің өзін жаңарту бұл осалдықтарды жоймайды. PHP-ді түзетулер енгізілген нұсқаға дейін жаңарту қажет.
PHP2Shell деген не және ол неліктен қауіпті?
PHP — WordPress, интернет-дүкендер және корпоративтік веб-қосымшаларды қоса алғанда, көптеген сайттар жұмыс істейтін серверлік бағдарламалау тілі.
Келуші сайт бетін ашқанда, сервер PHP кодын орындайды, деректерді өңдейді, дерекқормен байланысады және браузерге жауап қалыптастырады.
Анықталған осалдықтар PHP жадын басқарудың ішкі механизмдеріне қатысты. Белгілі бір жағдайларда арнайы құрастырылған HTTP сұраулары жадты басқаруда қателер туғызып, бөгде кодтың орындалуына әкелуі мүмкін.
Бұл мәселе сайттың өз логикасы іске қосылғанға дейін-ақ PHP деңгейінде пайда болуы мүмкін дегенді білдіреді.
Екі осалдықтың айырмашылығы неде?
CVE-2026-109618 — ресурстар жетіспегенде жадтың бүлінуі
Бірінші осалдық PHP қолжетімді жад шегіне жеткен кездегі жағдайды — Out of Memory (OOM) — өңдеумен байланысты.
Сұрауды өңдеу тоқтатылғанда кейбір ішкі құрылымдар толық инициализацияланбай қалуы мүмкін. Кейін жадты тазалау барысында белгілі бір жағдайларда қате деректерге жүгіну орын алады.
Осалдық сәтті пайдаланылса, бұл PHP процесінің жұмысын бұзуға немесе кодты қашықтан орындауға әкелуі мүмкін.
CVE-2026-109619 — жадтың ескірген күйін пайдалану
Екінші осалдық бұрын босатылған жад аймағына сілтемелердің сақталып қалуымен байланысты.
Келесі сұрау өңделгенде PHP процесі қалыпты инициализация аяқталғанға дейін сол ескірген күйге жүгінуі мүмкін. Бұл жад тұтастығын бұзуға және бөгде кодты орындауға жағдай жасайды.
Екі мәселе де аса қауіпті саналады, өйткені кейбір шабуыл сценарийлері үшін әкімшінің логині мен құпиясөзін алдын ала алу қажет емес.
Remote Code Execution (RCE) — кодты қашықтан орындау. Мұндай шабуыл сәтті болса, шабуылдаушы осал серверлік процеске берілген құқықтар шегінде әрекет орындай алады. Нақты салдар сервер конфигурациясы мен оған берілген рұқсаттарға байланысты.
PHP-дің қай нұсқаларына қауіп төніп тұр?
2026 жылғы 21 қазанда PHP-дің қолданыстағы тармақтарына арналған түзетілген нұсқалар шығарылды:
| PHP тармағы | Осал нұсқалар | Түзетілген нұсқа |
|---|---|---|
| PHP 8.2 | 8.2.34 және одан ескі | 8.2.35 |
| PHP 8.3 | 8.3.35 және одан ескі | 8.3.36 |
| PHP 8.4 | 8.4.26 және одан ескі | 8.4.27 |
| PHP 8.5 | 8.5.11 және одан ескі | 8.5.12 |
Егер сайт PHP-дің бұдан да ескі тармағын пайдаланса, жағдай күрделірек. Мысалы, PHP 5.6, 7.x, 8.0 және 8.1 нұсқалары PHP негізгі жобасынан әдеттегі қауіпсіздік жаңартуларын енді алмайды.
Кейбір серверлік бағдарламалық жасақтама жеткізушілері мұндай нұсқаларға өздері қолдау көрсетіп, түзетілген жинақтар шығарады. Бірақ нұсқа нөмірінің бірдей болуы қажетті түзетудің бар екенін білдірмейді.
Мысалы, Plesk Linux жүйесіне арналған PHP 7.4.33, 8.0.30 және 8.1.34 нұсқаларының 2026 жылғы 21 қазанда құрастырылған түзетілген жинақтарын шығарды. Бұдан да ескі нұсқаларға арнайы кеңейтілген қолдау қажет болуы мүмкін.
Ең дұрыс шешім — PHP-дің қолдау көрсетілетін тармағына көшу және барлық қолжетімді түзетулерді орнату.
WordPress неліктен қауіп аймағында?
WordPress PHP арқылы жұмыс істейді. Демек, сайт қауіпсіздігі тек WordPress пен оның қосымша компоненттеріне емес, серверлік ортаға да байланысты.
Сайтта жаңартылған плагиндер орнатылып, күрделі құпиясөздер қолданылып, әкімшілік панельге қолжетімділік шектелсе де, PHP-дегі осалдық бөлек қауіп болып қала береді.
Бұл жағдай тек WordPress-ке тән емес. Осал интерпретатор нұсқасымен жұмыс істейтін басқа PHP-қосымшалар да осындай қатерге тап болуы мүмкін.
Дегенмен осал нұсқаның орнатылуы сайттың бұзылғанын өздігінен дәлелдемейді. Жүйенің шынымен бұзылғанын анықтау үшін жеке тексеру қажет.
Өз сайтыңыздағы PHP нұсқасын қалай тексеруге болады?
Ең оңай жолы — хостингтің басқару панелінен PHP параметрлерін қарау немесе техникалық қолдау қызметінен ақпарат сұрау.
WordPress басқаратын сайттарда нұсқа әдетте «Құралдар → Сайт денсаулығы → Ақпарат → Сервер» бөлімінде көрсетіледі.
Plesk панелінде нақты домен пайдаланатын PHP нұсқасын сол доменнің PHP параметрлері бөлімінен көруге болады.
Сайттың нақты қай PHP нұсқасын пайдаланатынын тексеру
Түзетулер енгізілген жинақ орнатылғанына көз жеткізу
Басты бетті және негізгі бөлімдерді ашып көру
WordPress әкімшілік панелін тексеру
Кері байланыс формалары мен хат жіберуді тексеру
Плагиндерді, интеграцияларды және фондық тапсырмаларды тексеру
Журналдарда PHP-дің жаңа қателері пайда болмағанына көз жеткізу
Неліктен PHP нұсқасын тек ауыстыру жеткіліксіз?
PHP-ді жаңарту тиісті нұсқаның белгілі осалдықтарын жояды, бірақ негізгі тармақтар арасында көшу ескі бағдарламалық жасақтамамен үйлесімсіздікті анықтауы мүмкін.
Әсіресе көптеген жыл бойы PHP 5.6 немесе 7.x жүйесінде жұмыс істеп тұрған, ескірген тақырыптарды, қолдауы тоқтаған плагиндерді немесе арнайы жазылған кодты пайдаланатын сайттарға сақтықпен қарау қажет.
PHP 8.x нұсқасына күрт көшкенде, үйлеспейтін функциялар не синтаксис салдарынан мұндай сайт ашылмай қалуы мүмкін.
Сондықтан кәсіби жаңарту тек нұсқаны ауыстырудан тұрмайды: оған үйлесімділікті тексеру, резервтік көшіру және тестілеу де кіреді.
Сайтты қайта іске қосу үшін PHP-дің осал нұсқасына оралу белгілі аса қауіпті қатерді қайта ашуы мүмкін. Егер жаңарту ақау туғызса, қосымшаның үйлесімділігін тексеріп, мәселені шешу қажет; қауіпсіз емес конфигурацияны белгісіз мерзімге қалдыруға болмайды.
Сайт иесі дәл қазір не істеуі керек?
Әрекеттердің тиімді реті серверді кім басқаратынына және PHP параметрлеріне қолжетімділіктің бар-жоғына байланысты.
PHP-дің нақты нұсқасын және жинақты жеткізушіні анықтау
PHP жобасынан немесе хостинг жеткізушісінен түзетулер туралы ақпаратты тексеру
Файлдар мен дерекқордың резервтік көшірмесін жасау
Мүмкін болса, жаңартуды сайттың тестілік көшірмесінде тексеру
PHP-дің түзетілген нұсқасын орнату
Сайт пен интеграциялардың жұмысын тексеру
Журналдардан әдеттен тыс қателер мен күмәнді сұрауларды іздеу
WordPress пен оның компоненттерін тұрақты жаңартуды жалғастыру
Егер жеке сервер пайдаланылса, сайттардың PHP нұсқасымен қатар инфрақұрылымның басқа компоненттерін де ескеру қажет. Мысалы, Plesk басқару панелінің ішкі PHP қозғалтқышы үшін де түзетулер шығарған.
Қолжетімділікті уақытша шектеу, сұрауларды сүзу және веб-қосымшаларды қорғау құралдары жекелеген қатерлерді төмендетуі мүмкін, бірақ PHP-дің өзін түзетуді алмастырмайды.
PHP-ді жаңарту — қорғаныстың бір деңгейі ғана
PHP2Shell жойылғаннан кейін де сайтқа қолжетімділікті бақылау, резервтік көшіру, компоненттерді жаңарту және ашық формаларды қорғау қажет.
Бөлек мақалада WordPress формалары арқылы спамның неліктен өтетінін және сайтты автоматты жіберілімдерден қалай қорғауға болатынын талқыладық.
Киберқауіпсіздіктің практикалық мәселелері мен техникалық ақауларды диагностикалау біздің IT мамандарына арналған ақпараттық қауіпсіздік курсымызда да қарастырылады.
Жиі қойылатын сұрақтар
PHP қауіпсіздігі туралы негізгі сұрақтарға жауаптар.
PHP2Shell анықталғаннан кейін WordPress-ті жаңарту керек пе?
WordPress-ті әрдайым өзекті күйде ұстау ұсынылады. Алайда CVE-2026-109618 және CVE-2026-109619 осалдықтарын жою үшін PHP-дің өзін түзету қажет.
Сайт қалыпты жұмыс істеп тұрса, ол қорғалған деген сөз бе?
Жоқ. Сайттың қалыпты жұмыс істеуі осалдықтардың жоқ екенін дәлелдемейді. PHP нұсқасын және қажетті түзетулердің орнатылғанын тексеру қажет.
Антивирус немесе WAF орнату жеткілікті ме?
Жоқ. Бұл құралдар қорғанысты толықтырады, бірақ PHP-дегі осалдықтарды түзетудің орнын баспайды.
PHP-дің ескі нұсқасын қауіпсіз пайдалануға бола ма?
Кейбір жеткізушілер ескірген нұсқаларға арналған түзетілген жинақтар шығарады. Ұзақ мерзімді шешім — қолдау көрсетілетін PHP тармағына көшу.
Дереккөздер
- PHP — қауіпсіздік жаңартулары туралы ресми хабарламалар
- KZ-CERT — PHP2Shell туралы ескерту
- Plesk — PHP-дің түзетілген нұсқалары
WEB-LABS сайттарды әзірлеумен және техникалық сүйемелдеумен айналысады. Ескі сайттың PHP-дің жаңа нұсқасымен үйлесімділігін бағалауға, жаңартудан кейінгі қателерді анықтауға және кейінгі қолдауды ұйымдастыруға көмектесеміз. Тапсырмаңызды талқылау үшін WEB-LABS компаниясына хабарласыңыз.