Spalio 21 dieną PHP projektas išleido skubų saugumo atnaujinimą, kuris pataiso dvi kritines spragas. Tyrėjai jas pavadino PHP2Shell. Tai ne eilinis papildinio atnaujinimas, kurį galima atidėti iki savaitgalio: spragos leidžia užpuolikui paleisti savo kodą serveryje net neprisijungus, o bandymai jomis pasinaudoti fiksuoti dar prieš oficialų paskelbimą.
Jei jūsų svetainė veikia WordPress, WooCommerce, OpenCart, PrestaShop ar bet kuria kita PHP pagrindu sukurta sistema, ši žinia liečia ir jus. Toliau paaiškiname, kas nutiko, kaip patikrinti savo svetainę ir kodėl įsilaužimas kainuoja ne tik duomenis, bet ir pozicijas Google paieškoje.
Kas tiksliai nutiko
Spragoms priskirti numeriai CVE-2026-109618 ir CVE-2026-109619. Abi įvertintos 9,2 balo pagal CVSS 4.0 skalę, kurioje 10 yra didžiausias galimas pavojingumas. Pirmoji susijusi su tuo, kaip PHP tvarko atmintį, kai jos pritrūksta užklausos apdorojimo viduryje. Antroji kyla dėl duomenų, kurie lieka atmintyje po vienos užklausos ir gali būti panaudoti kitos.
Svetainės savininkui techninės detalės mažiau svarbios nei pasekmė. Užpuolikui nereikia slaptažodžio, nereikia pažeidžiamo papildinio ir nereikia jokios klaidos jūsų svetainės kode. Pakanka, kad serveryje veiktų nepataisyta PHP versija ir svetainė priimtų užklausas iš interneto.
Pagal PHP projekto ir JAV kibernetinio saugumo agentūros CISA pranešimus, rizika galioja visiems PHP diegimams, kurie aptarnauja interneto užklausas: PHP-FPM, Apache su mod_php, php-cgi, FrankenPHP ir LiteSpeed serveriams. Pavojingiausia laikoma mod_php konfigūracija, nes ten kenkėjiška užklausa gali suveikti dar prieš pasileidžiant bet kokiam svetainės kodui. Spragas tyrę Wiz specialistai teigia, kad bent viena iš jų paveikia visas per pastarąjį dešimtmetį išleistas PHP versijas.
Kodėl skubėti reikia būtent dabar
Įprastai saugumo pataisos išleidžiamos tyliai, o detalės paskelbiamos vėliau, kai dauguma serverių jau atnaujinti. Šį kartą taip nebuvo. Spragų numeriai pateko į viešumą spalio 20 dieną, todėl PHP komanda pataisas išleido diena anksčiau nei planavo.
Amazon grėsmių tyrėjai praneša, kad pirmą bandymą pasinaudoti spraga užfiksavo spalio 17 dieną, keturias dienas prieš viešą paskelbimą. Po paskelbimo bandymų padaugėjo, o Cloudflare atstovai patvirtino matantys pirmąsias atakas. Internete jau platinamas kodas, kuris neva leidžia spragomis pasinaudoti. Dalis tokio kodo gali būti netikra ar net užkrėsta, bet tai nekeičia esmės: automatiniai skeneriai jau ieško nepataisytų serverių, ir jie netikrina, ar svetainė priklauso didelei įmonei, ar mažai parduotuvei Panevėžyje.
Kurios PHP versijos saugios
Spragos pataisytos šiose versijose:
- PHP 8.5.12 ir naujesnėse
- PHP 8.4.27 ir naujesnėse
- PHP 8.3.36 ir naujesnėse
- PHP 8.2.35 ir naujesnėse
Senesnės šakos, nuo 7.4 iki 8.1, oficialių atnaujinimų iš PHP projekto nebegauna. Saugumo komanda paskelbė tik pataisas išeities kodui, kurias gali pritaikyti serverius patys kompiliuojantys administratoriai. Versijoms iki 7.3 jokio sprendimo nėra. Jei svetainė vis dar veikia PHP 7.x, tai jau seniai buvo rizika, o dabar ji tapo labai konkreti.
Viena svarbi pastaba. Kai kurie talpinimo paslaugų teikėjai, ypač naudojantys CloudLinux, pataisas perkelia į savo PHP paketus nekeisdami versijos numerio. Tokiu atveju jūsų skydelis gali rodyti, pavyzdžiui, 8.3.35, nors serveris jau apsaugotas. Todėl vien versijos numeris neatsako į klausimą iki galo. Patikimiausia paklausti paties teikėjo.
Kaip patikrinti savo svetainę per 5 minutes
- Sužinokite PHP versiją. WordPress administravimo skydelyje atsidarykite Įrankiai, tada Svetainės sveikata, skiltį Informacija ir joje Serveris. Ten nurodyta tiksli PHP versija. Kitose sistemose versiją dažniausiai rodo talpinimo valdymo skydelis.
- Parašykite talpinimo teikėjui. Paklauskite tiesiai: ar serveriuose pritaikytos CVE-2026-109618 ir CVE-2026-109619 pataisos ir kada. Didesni teikėjai šią savaitę jau skelbia būklę savo naujienose ar būsenos puslapiuose.
- Jei versiją renkatės patys, perjunkite į naujausią palaikomą šaką. Prieš tai pasidarykite atsarginę kopiją ir po perjungimo peržiūrėkite pagrindinius puslapius, krepšelį ir kontaktų formą.
- Jei administruojate savo serverį (VPS ar dedikuotą), atnaujinkite PHP paketus ir perkraukite visus PHP procesus. Kol to padaryti negalite, PHP projektas siūlo laikinas priemones, pavyzdžiui, išjungti session.upload_progress.enabled nustatymą. Jos sumažina riziką, bet visiškai jos nepanaikina.
WordPress.org komanda atskirai pabrėžė, kad pačios WordPress atnaujinti nereikia ir toks atnaujinimas neplanuojamas. Problema yra PHP, ne WordPress, todėl jokie papildiniai ar temos jos neišsprendžia. Saugumo papildinys gali pagauti dalį atakų, bet nepakeičia PHP atnaujinimo.
Ką parašyti talpinimo teikėjui
Daug savininkų atideda šį žingsnį, nes nežino, kaip suformuluoti klausimą. Užtenka trumpos žinutės palaikymo komandai:
Sveiki, mano svetainė veikia jūsų serveryje. Ar jau pritaikytos PHP saugumo pataisos spragoms CVE-2026-109618 ir CVE-2026-109619? Jei taip, kada tai buvo padaryta? Jei ne, kada planuojate ir ką rekomenduojate daryti iki tol?
Atsakymą išsisaugokite. Jei teikėjas pataisas pritaikė be versijos numerio pakeitimo, tai bus vienintelis jūsų įrodymas, kad serveris apsaugotas.
Kaip įsilaužimas atsiliepia SEO
Dažnas savininkas galvoja, kad įsilaužimas reiškia tik pavogtus duomenis ar sugadintą dizainą. Iš tikrųjų užpuolikai retai nori, kad jų darbas būtų pastebėtas. Daug dažniau svetainėje tyliai paslepiami šlamšto puslapiai, kurie matomi tik paieškos robotams, arba nukreipimai, kurie suveikia tik lankytojams, atėjusiems iš Google.
Kol savininkas mato įprastą svetainę, Google indeksuoja šimtus puslapių apie vaistus, kazino ar padirbtus prekių ženklus. Pasekmės SEO požiūriu būna kelių rūšių:
- Įspėjimai paieškos rezultatuose. Google prie užkrėstos svetainės gali rodyti užrašą, kad svetainė galimai nulaužta, o naršyklės rodo raudoną Safe Browsing įspėjimą. Paspaudimų skaičius tokiu atveju krenta beveik iki nulio.
- Šlamšto puslapiai indekse. Jie išbarsto svetainės patikimumą ir gali lemti, kad Google ims vertinti visą domeną kaip nekokybišką. Panašų poveikį turi ir šlamšto atnaujinimai, kurie baudžia svetaines už tokį turinį, nepriklausomai nuo to, ar jį sukūrė savininkas, ar užpuolikas.
- Paslėptos išeinančios nuorodos. Užpuolikai mėgsta dėti nuorodas į savo projektus. Tai gali lemti rankinį Google veiksmą dėl nenatūralių nuorodų.
- Lėtas atsigavimas. Net išvalius svetainę, pozicijos grįžta ne per dieną. Reikia pašalinti šlamšto URL iš indekso, pateikti peržiūros prašymą ir laukti, kol Google iš naujo įvertins puslapius. Tai užtrunka savaites.
Būtent todėl saugumas yra techninio SEO dalis. Svetainė, kurioje įdiegtos visos optimizacijos, bet veikia pasenusi PHP versija, stovi ant silpno pagrindo.
Požymiai, kad svetainė jau galėjo būti paveikta
Atnaujinus PHP verta įsitikinti, kad niekas neįvyko per tas kelias dienas, kol serveris buvo pažeidžiamas. Štai ką patikrinti:
- Atsidarykite Google Search Console ir peržiūrėkite skiltis Saugos problemos bei Rankiniai veiksmai. Ten Google praneša apie aptiktą kenkėjišką turinį.
- Paieškoje įveskite site:jusudomenas.lt ir peržiūrėkite rezultatus. Puslapiai užsienio kalba ar su nesusijusiomis temomis yra aiškus pavojaus signalas.
- Search Console ataskaitoje apie puslapius patikrinkite, ar staigiai neišaugo indeksuotų puslapių skaičius.
- Peržiūrėkite WordPress administratorių sąrašą. Naujas, jūsų nesukurtas vartotojas reiškia, kad kažkas turėjo prieigą.
- Paprašykite talpinimo teikėjo patikrinti failus, pakeistus per paskutines dienas, ir serverio žurnalus.
Jei kuris nors požymis pasitvirtina, neužtenka ištrinti matomų šlamšto puslapių. Užpuolikai dažniausiai palieka kelias užpakalines duris, todėl svetainę reikia valyti iš esmės: atkurti švarią atsarginę kopiją arba patikrinti visus failus, pakeisti visus slaptažodžius ir duomenų bazės prisijungimus, o tik tada prašyti Google peržiūrėti svetainę iš naujo.
Ką ši situacija sako apie svetainės priežiūrą apskritai
PHP2Shell nėra pirmoji ir ne paskutinė tokia spraga. Svetainės, kurios nukentės labiausiai, dažniausiai turi bendrą bruožą: niekas nėra atsakingas už jų techninę būklę. Svetainė buvo sukurta prieš kelerius metus, programuotojas seniai dirba su kitais projektais, o PHP versija liko tokia, kokia buvo paleidimo dieną.
Keli paprasti įpročiai gerokai sumažina tokių situacijų riziką:
- Bent kartą per ketvirtį patikrinkite, kokia PHP versija veikia, ir ar ji dar gauna saugumo pataisas. PHP 8.2 saugumo palaikymas baigiasi 2026 metų pabaigoje, todėl metas planuoti perėjimą į 8.3 ar naujesnę.
- Rinkitės talpinimo teikėją, kuris pats taiko saugumo pataisas ir apie jas informuoja.
- Turėkite automatines atsargines kopijas, saugomas ne tame pačiame serveryje.
- Įsitikinkite, kad Search Console pranešimai ateina į el. paštą, kurį kas nors realiai skaito.
Atliekant SEO auditą visada tikriname ir serverio pusę: PHP versiją, HTTPS nustatymus, saugumo antraštes, indekse esančius puslapius. Dažnai būtent ten randamos problemos, dėl kurių svetainė nekyla, nors turinys geras. Greitai pirminei patikrai galite naudoti mūsų nemokamą SEO patikros įrankį, o jei įtariate, kad svetainė jau paveikta, parašykite mums.
Trumpai: šią savaitę patikrinkite PHP versiją ir gaukite talpinimo teikėjo patvirtinimą, kad pataisos pritaikytos. Tai užtrunka kelias minutes, o įsilaužimo pasekmių šalinimas gali užtrukti mėnesius.
