PHP2Shell для WordPress, 1С-Битрикс и виртуального хостинга: что сделать владельцу
Большинство коммерческих сайтов в России работает на WordPress или 1С-Битрикс, а размещено либо на виртуальном хостинге, либо на VPS с панелью управления. Для них уязвимость PHP2Shell выглядит по-разному, и порядок действий тоже отличается. Ниже — практическая памятка по каждому варианту.
Виртуальный хостинг: что зависит от вас, а что от хостера
На виртуальном хостинге PHP устанавливает и обновляет хостер. Часто PHP там работает как модуль Apache или через LiteSpeed — оба варианта уязвимы, а mod_php относится к самым опасным. Ваша задача — убедиться, что хостер действительно обновил сборку, и закрыть то, что в вашей зоне.
- Откройте новости и статус-страницу хостинга: крупные хостеры публикуют сообщения о таких обновлениях.
- В разделе выбора версии PHP переключитесь на самую свежую сборку своей ветки. Если доступны только 7.x — это отдельная проблема, о ней ниже.
- Напишите в поддержку и попросите подтвердить установку исправлений для CVE-2026-109618 и CVE-2026-109619 на вашем сервере. Сохраните ответ.
- После подтверждения смените пароли: от базы данных, от админки CMS и от FTP или SSH.
WordPress: что сделать после обновления PHP
WordPress хранит в файле wp-config.php пароль базы данных и набор секретных ключей и солей, которыми подписываются cookie авторизации. Если PHP на сервере был уязвим, эти данные могли оказаться в утёкшей памяти процесса.
- Смените пароль базы данных в панели хостинга и пропишите новый в
wp-config.php. - Перевыпустите ключи и соли (AUTH_KEY, SECURE_AUTH_KEY и остальные). После этого все пользователи, включая злоумышленника с украденной сессией, будут разлогинены.
- Проверьте список пользователей с ролью «Администратор» и удалите незнакомых.
- Обновите ключи интеграций: платёжные модули WooCommerce, SMTP, CRM, API-ключи сервисов доставки.
- **Посмотрите на файлы в
wp-content/uploads**: там не должно быть файлов.php. Найденные — повод для полноценной проверки.
Если плагинов много и часть из них давно не обновлялась, сейчас хороший момент проверить и их: уязвимости PHP и плагинов часто используют вместе. Это задача аудита WordPress — проверяем плагины и темы по базам известных уязвимостей, права пользователей, REST API и xmlrpc.
1С-Битрикс: окружение, ключи и обмен с 1С
Сайты на Битриксе часто работают в фирменном окружении BitrixVM или на похожей схеме, где nginx стоит перед Apache, а PHP загружен в Apache модулем. Для PHP2Shell это самый опасный вариант, поэтому Битрикс-проекты стоит проверить в первую очередь.
- Узнайте, как запущен PHP:
httpd -M | grep -i phpилиapachectl -M. Если модуль найден — после обновления нужен полный перезапуск Apache. - Обновите PHP штатными средствами окружения или пакетным менеджером системы и убедитесь, что Битрикс поддерживает установленную версию.
- Смените пароль базы данных в
bitrix/.settings.phpиbitrix/php_interface/dbconn.php. - Смените пароль пользователя обмена с 1С и ключи интеграций: платёжные системы, службы доставки, CRM.
- Проверьте группу «Администраторы» и журнал событий, запустите встроенный сканер безопасности и проверку целостности файлов ядра.
Если Битрикс давно не обновлялся, окружение устарело или нет уверенности, кто ещё имеет доступ к серверу, это закрывает аудит 1С-Битрикс и защита Битрикса: проактивный фильтр, права, обмен с 1С, обновление окружения.
VPS с панелью: ISPmanager, FastPanel, cPanel, Plesk
Панели ставят несколько версий PHP одновременно, и обновлять нужно каждую, которую используют сайты. Частая ошибка — обновить системный PHP, оставив без изменений сборки панели в /opt. Как найти их все и проверить журналы изменений, описано в пошаговой инструкции.
Признаки, что сайт атаковали до обновления
| Где смотреть | Что настораживает |
|---|---|
| Файлы сайта | Новые .php в uploads, cache, upload; изменённые index.php и .htaccess с датой после 20 октября |
| Админка CMS | Незнакомые администраторы, изменённые email у существующих |
| Поведение сайта | Редиректы для мобильных посетителей и из поиска, чужая реклама |
| Сервер | Неизвестные процессы, задания cron, всплеск исходящей почты или нагрузки |
| Поисковики | Пометка «сайт может быть взломан», падение видимости, предупреждения в Вебмастере |
Быстрая внешняя проверка — наш бесплатный сканер взлома сайта. Если что-то нашлось, не удаляйте файлы вслепую: часто закладок несколько, и вторая восстанавливает первую. В таких случаях помогает восстановление после взлома — с поиском всех точек входа и заменой секретов.
Как мы работаем с такими проектами
Срочная часть — обновить PHP, перезапустить службы, подтвердить исправление — укладывается в один выезд скорой помощи от 4 900 ₽ со стартом в течение часа. Если сайт не запускается на исправленной ветке PHP, берём обновление PHP с проверкой форм, корзины, оплаты и обмена с 1С. А чтобы следующая уязвимость не превратилась в аврал, подключаем сопровождение WordPress или сопровождение Битрикса: обновления в день выхода, резервные копии и контроль изменений файлов.
Источники
Вопросы и ответы
Я обновил WordPress и все плагины. Этого достаточно?
Нет. PHP2Shell — уязвимость PHP, а не WordPress. Нужно обновить PHP на сервере или убедиться, что это сделал хостер, а потом сменить пароли и ключи.
Зачем менять соли WordPress?
Солями подписываются cookie входа. Если их прочитали из памяти уязвимого процесса, злоумышленник может подделать сессию администратора. Новые соли делают все старые сессии недействительными.
Почему Битрикс в зоне повышенного риска?
В типичном окружении Битрикса PHP работает модулем Apache. Для этой конфигурации показана атака, которая не зависит от кода сайта.
Хостер не отвечает, а сайт на старом PHP. Что делать?
Сменить пароли, закрыть админку по IP, если хостинг это позволяет, и планировать переезд на площадку с поддерживаемой версией PHP. Мы можем перенести сайт с проверкой работоспособности.