PHP2Shell: PHPdagi kritik zaifliklar va sayt egasi nima qilişi kerak

2026-yil 21-oktyabrda PHP jamoasi tilning özidagi ikkita kritik zaiflikni yopadigan şoşilinç yangilaniş çiqardi. Ular PHP2Shell deb ataldi: ular orqali hujumçi login va parolsiz, bitta HTTP sörov bilan serverda öz kodini işga tuşirişi mumkin. Sönggi ön yildan ortiq davrdagi deyarli barça PHP versiyalari xavf ostida, hujumlar esa tuzatiş çiqişidan oldin boşlangan. Saytingiz WordPress, 1C-Bitrix, Laravel, OpenCart yoki PHPdagi boşqa istalgan dvijokda işlasa, bu maqola sizga ham tegişli.

Nima sodir böldi

20-oktyabrda PHP dasturçilari şoşilinç reliz haqida oldindan ogohlantirdi, ertasi kuni esa 8.5.12, 8.4.27, 8.3.36 va 8.2.35 versiyalarini çiqardi. Ikkala zaiflik CVSS v4.0 şkalasi böyiça 10 dan 9.2 baho oldi, bu kritik daraja.

• CVE-2026-109618 xotira yetişmasligi bilan boğliq. Sörov memory_limit çegarasidan oşib ketganda PHP uni favqulodda töxtatadi va sörovning içki maʼlumotlari yarim töldirilgan holda qolişi mumkin, masalan yuklanayotgan faylni tahlil qiliş paytida. Keyin tozalaş kodi bu maʼlumotlarni töğri deb hisoblaydi, bu esa xotirani buziş va bajarilişni egallab olişga imkon beradi.
• CVE-2026-109619 eskirgan holat bilan boğliq. Fatal xatodan keyin sörovning içki maʼlumotlarining bir qismi xotira böşatilgandan keyin ham saqlanib qolişi mumkin va öşa PHP jarayoniga tuşgan keyingi sörov ular tozalanişidan oldin ulardan foydalanadi.

Biznes uçun asosiysi: hujum saytning öz kodi işga tuşişidan oldin işlaydi. Şuning uçun sayt qançalik puxta yozilgani va plaginlar yangilangani muhim emas. Serverdagi PHP versiyasi zaif bölsa, sayt ham zaif.

Xatolarni yozda qidiruv uçun sunʼiy intellekt modellaridan foydalangan tadqiqotçilar topgan va şu vaqt davomida PHP jamoasi tuzatişlarni tayyorlagan.

Qaysi versiyalar zaif

• PHPning 5.4 dan 8.5.11 gaça bölgan barça versiyalari zaif.
• Tuzatişlar 8.5.12, 8.4.27, 8.3.36 va 8.2.35 versiyalarida çiqdi.
• PHP 8.1 va undan eski versiyalar uçun rasmiy relizlar bölmaydi: bu tarmoqlar endi qöllab-quvvatlanmaydi. Muammo jiddiyligi sababli PHP jamoasi 7.4, 8.0 va 8.1 uçun manba kodida minimal tuzatişlarni eʼlon qildi, Linux distributivlari va kengaytirilgan qöllab-quvvatlaş yetkazib beruvçilarining bir qismi esa öz paketlarini çiqarmoqda.
• PHP veb-sörovlarni qayta işlaşning barça usullari zaif: PHP-FPM, mod_php bilan Apache, php-cgi, FrankenPHP va LiteSpeed. PHP jamoasi eng xavfli konfiguratsiya deb mod_phpni ataydi.

PHP 8.2 ni qöllab-quvvatlaş 2026-yil 31-dekabrda tugaşini ham hisobga oling. Sayt 8.2 yoki undan eski versiyada işlasa, şoşilinç yangilanişdan keyin 8.4 yoki 8.5 ga ötişni rejalaştiriş kerak.

Hujumlar allaqaçon boşlanganmi

Ha. Amazon maʼlumotiga köra, birinçi ekspluatatsiya urinişi 17-oktyabrda, tuzatişlar çiqişidan tört kun oldin ularning tuzoqlariga tuşgan, relizdan keyin esa urinişlar ommaviy tus olgan. Cloudflare millionlab hujumlarni qayd etmoqda va hujumçilar himoya filtrlarini çetlab ötiş uçun sörovlarni özgartirayotganini körmoqda. Tadqiqotçilar maʼlumotiga köra, hujumlarning köpçiligi PHP sessiyalarida fayl yuklaş jarayonini kuzatadigan mexanizm orqali amalga oşirilmoqda.

Şuning uçun buzib kiriş izlarini yangilaniş çiqqan sanadan emas, 17-oktyabrdan boşlab qidiriş kerak.

Hozir nima qiliş kerak

1. PHP versiyasini bilib oling

• WordPressda: «Asboblar» → «Sayt salomatligi» → «Maʼlumot» → «Server»;
• hosting panelida (cPanel, ISPmanager, Plesk) domen uçun PHP sozlamalarida;
• saytni qöllab-quvvatlayotgan dasturçi yoki studiyadan.

Konsoldagi php -v buyruği konsol PHP versiyasini körsatadi, sayt esa PHP-FPM orqali boşqa versiyada işlaşi mumkin. Saytning özi yoki hosting paneli körsatadigan versiyaga tayaning.

2. PHPni yangilang

Yangilaş zaifliklarni töliq yopişning yagona usuli. Virtual hostingda PHPni provayder yangilaydi: qöllab-quvvatlaş xizmatidan tuzatilgan versiyalar örnatilganmi, sörang. Öz serveringiz yoki VPSda distributiv repozitoriyasidan paketlarni yangilang va PHP-FPM yoki veb-serverni qayta işga tuşiring. PHP remirepo repozitoriyasidan örnatilgan bölsa, reliz kuni u yerda yangilanişlar bölmaganini va PHP jamoasi distributiv paketlariga ötiş yoki PHPni manba kodidan yiğişni maslahat berganini yodda tuting. Dockerdagi saytlarni yangilangan bazaviy obrazda qayta yiğib, konteynerlarni qayta işga tuşiriş kerak.

3. Bugun yangilab bölmasa

Vaqtinçalik çoralar maʼlum hujum yöllarini yopadi, lekin serverni xavfsiz qilmaydi. Ulardan faqat yangilanişgaça çidab turiş uçun foydalaning:

• php.ini, FPM pul sozlamalari yoki veb-serverda session.upload_progress.enabled ni öçiring va barça PHP jarayonlarini qayta işga tuşiring. ini_set() yoki .user.ini fayli orqali bu sozlama işlamaydi;
• PHP 8.5 da qöşimça ravişda fatal_error_backtraces ni öçiring;
• post_max_size ni kamaytiring: saytda fayl yuklaş bölmasa 8M, bölsa 32M;
• birinçi zaiflikka qarşi PHP jamoasi memory_limit ni olib taşlaşni taklif qiladi, lekin u holda bitta sörov serverning butun xotirasini egallaşi mumkin. Bu yeçim konteyner darajasida xotira çeklovini talab qiladi va uni administrator bilan birga qabul qilgan maʼqul.

Sayt eski versiyada işlasa va uni tez yangilab bölmasa, CERT-EU vaqtinça unga internetdan kirişni yopişni maslahat beradi. Ariza olib keladigan sayt uçun bu yoqimsiz, lekin buzib kiriş qimmatroqqa tuşadi.

4. Saytni buzib kiriş izlariga tekşiring

• 17-oktyabrdan boşlab yangi yoki özgartirilgan PHP fayllar, ayniqsa yuklamalar va keş papkalarida;
• CMSdagi notaniş administratorlar va serverdagi yangi foydalanuvçilar;
• cron dagi yangi vazifalar va notaniş jarayonlar;
• veb-server loglaridagi şubhali sörovlar va PHP xatolarining keskin ösişi;
• mijozlarning begona saytlarga yönaltiriş haqidagi şikoyatlari va Google Search Console dagi ogohlantirişlar.

Biror narsa topilsa, faqat PHPni yangilaş yetarli emas. Zararli kodni öçiriş, saytni toza zaxira nusxadan tiklaş va serverda saqlangan barça parol hamda kalitlarni almaştiriş kerak: maʼlumotlar bazasi, tölov tizimlari, poçta va API ga kiriş maʼlumotlari.

Bu holat saytni qöllab-quvvatlaş haqida nima deydi

Ommaviy hujumlar eʼlon qilinganidan bir neça soat ötib boşlandi, birinçi urinişlar esa undan ham oldin bölgan. Pudratçi kuzatib boradigan saytlarda bunday yangilanişlar öşa kuniyoq örnatiladi. Nazoratsiz saytlar haftalab zaif bölib qoladi va egasi muammo haqida sayt allaqaçon buzilganda bilib oladi. Texnik qöllab-quvvatlaşga nimalar kirişini «Işga tuşirilgandan keyin saytni qöllab-quvvatlaş» maqolasida körib çiqqanmiz. Hostingga kiriş maʼlumotlari sobiq dasturçida qolgan bölsa va PHP versiyasini ham köra olmasangiz, domen va saytni qanday yöqotmaslik haqidagi maqoladan boşlang. Işga tuşirilgandan keyingi qöllab-quvvatlaşni sayt yoki veb-ilova işlab çiqiş bilan birga buyurtma qiliş mumkin.

Köp söraladigan savollar

Sayt WordPressda, barça plaginlar yangilangan. Men xavfsizmanmi?

Yöq, agar serverdagi PHP versiyasi yangilanmagan bölsa. Zaiflik PHPning özida va hujum WordPress kodi işga tuşişidan oldin işlaydi, şuning uçun dvijok va plaginlarni yangilaş bu yerda yordam bermaydi.

Sayt konstruktorda qilingan. Bu menga tegişlimi?

Odatda yöq: konstruktor serverlarini platformaning özi boşqaradi. Lekin sizda alohida server bölsa, masalan PHPdagi CRM, bot yoki şaxsiy kabinet uçun, uni tekşiring.

Cloudflare yoki boşqa WAF himoya qiladimi?

Qisman. Cloudflare hujumning maʼlum variantlariga qarşi qoidalarni yangilamoqda, lekin hujumçilar filtrlarni çetlab ötadigan sörovlarni allaqaçon tanlamoqda. WAF yangilaş uçun vaqt beradi, lekin uning örnini bosmaydi.

Hosting PHPni yangilaganini qanday bilsa böladi?

Versiyani hosting panelida yoki WordPressdagi «Sayt salomatligi» bölimida köring. Öz tarmoği uçun u 8.5.12, 8.4.27, 8.3.36 yoki 8.2.35 dan past bölmasligi kerak. Linux distributivlari baʼzan versiya raqamini özgartirmasdan tuzatişni qöşadi, şuning uçun versiya eskiroq bölsa, hostingdan PHP2Shell yopilganmi, aniqlang.

Serveringiz yangilanganiga işonçingiz komil emasmi? Biz bilan boğlaning: PHP versiyasini tekşiramiz, tuzatişni örnatamiz va buzib kiriş izlari bor-yöqligini köramiz.