Что делать бизнесу после уязвимостей в PHP: обновление без остановки сайта

Практическая инструкция: что проверить, как обновить и чем дополнительно защититься.

В октябре 2026 года в PHP обнаружили две критические уязвимости. Они позволяли злоумышленникам выполнять произвольный код на сервере без авторизации. Оценка опасности — 9,2 из 10. Из-за риска взлома и утечки данных государственные сайты и сервисы в Нидерландах, Дании, Финляндии, Франции, а также фонд Wikimedia временно отключали часть своих систем

По оценкам аналитиков, около 70% сайтов в мире работают на PHP или приложениях на этом языке. На PHP построены WordPress, Википедия и Slack. Поэтому обновление касается не только отдельных серверов, но и значительной части веб-инфраструктуры бизнеса. Ниже — понятная последовательность действий: что проверить до обновления и как его провести.

Содержание:

Сначала соберите список серверов и сайтов, которые работают на PHP. Отметьте, какие версии PHP используются, есть ли панель управления, CMS и фреймворки. Если на одном сервере несколько проектов, проверьте, можно ли обновлять их независимо. Проверять нужно не только номер версии PHP, но и сведения об исправлениях от поставщика пакета: версия пакета в ОС может отличаться от официального релиза PHP. Если PHP установлен из стороннего репозитория или используется альтернативная сборка, стандартное обновление системы может ее не затронуть — проверьте такие сборки отдельно.

Сделайте резервную копию или снэпшот сервера. Это позволит быстро откатить систему, если новая версия PHP вызовет несовместимость с кодом проекта. Проверьте, что копия действительно восстанавливается.

Если есть тестовая среда, сначала обновите ее и прогоните ключевые сценарии: авторизацию, формы, загрузку файлов, оплату, API, админ-панель. Для старых версий PHP 7.4, 8.0 и 8.1 доступны только патчи в виде исходного кода, и эти ветки уже завершили жизненный цикл. Если бизнес всё еще работает на них, разумно параллельно планировать миграцию на поддерживаемую версию.

Определите окно работ и план отката. Обновление лучше проводить в период низкой нагрузки. Заранее договоритесь, кто отвечает за сервер, кто проверяет сайт после обновления и по какому сигналу принимается решение об откате.

Если используется актуальная версия ispmanager, обновиться можно через веб-интерфейс.

Для этого:

Если панель ispmanager не используется, обновите уязвимые пакеты стандартным менеджером вашей ОС. Для Debian и Ubuntu это apt update и apt upgrade, для RHEL, AlmaLinux и Rocky — dnf update или yum update. После обновления перезапустите не только веб-сервер и PHP-FPM, но и длительно работающие фоновые процессы, например обработчики очередей, — иначе они продолжат работать на старой версии.

Проверьте результат. Убедитесь, что версия PHP соответствует исправленной сборке, сайты открываются, формы работают, файлы загружаются, ошибок в логах нет. Отдельно проверьте админ-панели, интеграции с внешними сервисами и фоновые задачи. В первые сутки после обновления усильте мониторинг и просматривайте логи.

В качестве дополнительной меры можно подключить облачный WAF. Он помогает отсекать попытки эксплуатации веб-уязвимостей, включая подобные атаки. После проверки, что сайт корректно работает через WAF, закройте прямой доступ к серверу по портам 80/443 для всех IP, кроме WAF. Это исключает прямой обход фильтрации. WAF не заменяет обновление PHP, но сокращает поверхность атаки.

Обновление PHP после обнаружения уязвимостей — это стандартная задача, которую можно пройти без остановки бизнеса. Достаточно действовать по порядку: зафиксировать, что и где используется, сделать резервную копию, проверить изменения на тестовом контуре и затем перенести их на рабочие серверы. Такой подход снижает риски и для текущего обновления, и для будущих. А если часть проектов работает на старых версиях PHP, стоит заранее заложить время на плановую миграцию — это упростит поддержку и снизит нагрузку на команду в следующий раз. Дополнительным слоем защиты может стать Антивирус для сайта от Рег.ру: он работает круглосуточно и без участия владельца, автоматически обнаруживает и блокирует угрозы в реальном времени на любом хостинге, VPS или в Рег.облаке.

Читать еще: