В октябре 2026 года были раскрыты две критические уязвимости PHP — известные вместе как PHP2Shell (CVE-2026-109618 и CVE-2026-109619): удалённое выполнение кода в ядре PHP. Для агентства, которое обслуживает десятки сайтов, первый вопрос прост и срочен: какие из наших сайтов затронуты? Мы создали php2shell-checker, чтобы быстро ответить на него — и опубликовали его как open source.
Что такое PHP2Shell
По сути, уязвимость позволяет злоумышленнику выполнить свой код на сервере с уязвимой версией PHP — на практике это удалённый shell. Для публичного сайта это почти наихудший сценарий: утечка данных, дефейс или использование сервера как плацдарма для дальнейших атак. Патч существует, поэтому настоящая проблема — операционная: знать, где вы уязвимы, прежде чем это узнает кто-то ещё.
Что делает инструмент
php2shell-checker — это чекер, который проверяет, уязвим ли сайт или хост к PHP2Shell, чтобы команда знала, что приоритизировать для патча. Он предназначен для запуска по собственной инфраструктуре — он проверяет и сообщает, а не эксплуатирует. Цель — ясный вердикт: затронут или нет, а значит, что требует внимания в первую очередь.
Почему мы его создали
Мы обслуживаем большое количество клиентских сайтов, и проверять каждый вручную после такого раскрытия — медленно и чревато ошибками. Единый инструмент, который даёт согласованный ответ по множеству сайтов, напрямую встраивается в нашу рутину поддержки и мониторинга — та же дисциплина, что стоит за отчётами и проверками доступности, которые мы делаем для клиентов. Когда появляется CVE, мы хотим часы, а не дни, между «это серьёзно?» и «мы точно знаем, какие сайты нужно чинить».
Open source
Мы опубликовали php2shell-checker на GitHub, чтобы им могли пользоваться и другие команды: github.com/Nikba-Creative-Studio/php2shell-checker. Если вы ведёте PHP-сайты, стоит проверить свою уязвимость сейчас и применить патч там, где нужно. Безопасность — часть поддержки, а не запоздалая мысль — и то, что мы делимся инструментом, часть того, как, по нашему мнению, это должно работать.