В октябре 2026 года исследователи с помощью AI обнаружили серьёзные уязвимости в PHP. Некоторые из них оставались незамеченными больше десяти лет. Новость неприятная, учитывая, что PHP используется примерно на 70% сайтов, для которых известен серверный язык.

Но дело даже не в количестве сайтов. История в очередной раз показала проблему, с которой мы регулярно сталкиваемся в разработке и технической поддержке: компании следят за обновлениями CMS, но часто забывают про то, на чём эта CMS вообще работает.

[1] Что обнаружили исследователи

Команда Wiz Research использовала AI-инструменты для анализа исходного кода PHP и обнаружила уязвимости, которые при определённых условиях могут позволить злоумышленнику выполнить вредоносный код на сервере.

Разработчики PHP выпустили исправления. Однако между выходом обновления и его установкой на конкретном сервере иногда проходят месяцы. А в отдельных проектах PHP не обновляют годами.

Причины довольно банальные. Кто-то боится сломать работающий сайт, у кого-то старые модули, которые не поддерживают новые версии PHP. А иногда никто даже не знает, какая версия установлена на сервере.

Именно последнее особенно часто встречается на проектах, которые несколько раз меняли подрядчиков.

[2] Сайт обновили. А PHP?

Допустим, у компании есть корпоративный сайт на 1С-Битрикс. Его регулярно обслуживают: обновляют модули, исправляют ошибки, дорабатывают формы и интеграции.

В какой-то момент выясняется, что сайт работает на устаревшей версии PHP.

Почему её не обновили раньше? Потому что после перехода могут перестать работать старые компоненты, интеграции или самописные модули. А значит, нужно проверять код, исправлять несовместимости и тестировать основные сценарии.

Это уже не задача на пять минут.

В результате обновление откладывают. Сначала на месяц, потом на полгода. Сайт продолжает работать, поэтому проблема никого особенно не беспокоит.

Но отсутствие ошибок на сайте не означает, что с его безопасностью всё в порядке.

Причём это касается не только Битрикса. Аналогичная ситуация возможна с WordPress, Drupal, Joomla и самописными проектами.

[3] Почему нельзя просто нажать «Обновить»

Само обновление PHP обычно не представляет большой сложности. Проблемы начинаются после него.

Например, на сайте застройщика может перестать работать интеграция с CRM, передача заявок или ипотечный калькулятор. В интернет-магазине — оформление заказа или оплата. В личном кабинете — авторизация и обмен данными с внешними системами.

Поэтому нормальный процесс выглядит иначе.

Сначала разработчики проверяют текущую версию PHP и зависимости проекта. Затем разворачивают тестовую среду, устанавливают обновление и проверяют критичные функции. Если возникают ошибки совместимости, исправляют их до переноса изменений на рабочий сервер.

Да, это требует времени. Но обновлять сервер вслепую и разбираться с последствиями на работающем сайте — идея ещё хуже.

[4] Что делать владельцам сайтов

Для начала стоит выяснить две вещи: какая версия PHP сейчас используется и кто отвечает за её обновление.

Если сайт находится на обычном хостинге, часть работы может выполнять провайдер. Если на выделенном сервере — ответственность обычно лежит на команде, которая его администрирует.

Отдельно нужно проверить, установлены ли исправления безопасности. Сам по себе номер версии ещё не всегда даёт полную картину: некоторые поставщики серверного ПО выпускают собственные исправленные сборки.

И не стоит забывать про CMS. Обновление PHP не заменяет обновление Битрикса, WordPress или других компонентов сайта. Следить нужно и за тем и за другим.

[5] Что в итоге

В этой новости интересен не только сам факт обнаружения уязвимостей с помощью нейросетей. AI помогает исследователям быстрее находить ошибки, которые раньше могли оставаться незамеченными годами.

Для бизнеса это ещё один повод пересмотреть отношение к технической поддержке.

Если подрядчик занимается только задачами, которые видны на сайте, а сервер, зависимости и обновления безопасности остаются без внимания, часть технических рисков просто никто не контролирует.

Сайт может годами нормально работать и при этом использовать программное обеспечение с известными уязвимостями.

Поэтому вопрос к технической команде сейчас довольно простой: когда вы последний раз обновляли PHP и проверяли безопасность серверного окружения?

Источник: Wiz Research — PHP2Shell