Після PHP2Shell відповіді «PHP оновлено» мало: оновити могли не той сайт, лише консольний PHP або без перезапуску процесів. Чотири перевірки на п'ятнадцять хвилин і п'ять питань до хостингу.
Хостинг написав: «PHP оновлено». Це може бути правдою для одного сайту з п'яти на вашому акаунті, правдою лише для командного рядка або правдою на папері, поки робочі процеси досі тримають у пам'яті стару версію. Після PHP2Shell такої відповіді мало. Нижче чотири перевірки, які власник сайту може зробити сам за п'ятнадцять хвилин, і список питань до хостингу.
php -v показує версію для терміналу й cron. Сайт у браузері обслуговує інший PHP: PHP-FPM, Apache чи LiteSpeed, і це можуть бути різні версії.Без терміналу:
phpinfo: файл із одним рядком <?php phpinfo(); у корені сайту, відкрити в браузері й одразу видалити: сторінка видає надто багато про сервер, щоб лишати її публічною.curl -sI https://ваш-сайт.ua | grep -i x-powered-by покаже PHP/8.x.y, якщо адміністратор не вимкнув цей заголовок. Часто вимкнено, тоді порожній результат нічого не доводить.Виправлення вийшли для гілок 8.5 (8.5.12), 8.4 (8.4.27), 8.3 (8.3.36) і 8.2 (8.2.35). Для 8.1 і старших офіційного виправлення немає. Номер вашої версії такий самий або новіший за відповідний у списку? Добре. Нижчий? Не поспішайте з висновком: якщо сервер на Debian чи Ubuntu, спитайте хостинг, чи пакет містить виправлення CVE-2026-109618 і CVE-2026-109619. Журнал змін пакета це показує, і хостингу відповісти на таке питання нескладно.
Оновлення без перезапуску працює лише на диску. Спитайте хостинг прямо: «після оновлення ви перезапустили PHP-FPM (або Apache) і коли саме?». Якщо у вас є SSH, час запуску процесів видно командою ps -eo pid,lstart,cmd | grep -E "php-fpm|apache2|httpd": дата старту має бути пізнішою за час оновлення.
Бувають хостинги, що пропонують лише застарілі гілки PHP. Тоді залишаються два шляхи: перейти на гілку з виправленням (8.2–8.5), попередньо перевіривши на копії сайту, чи працюють плагіни й модулі, або перенести сайт на сервер, де ви самі керуєте версією. Ми робимо і те, і те: оновлення PHP і захист сервера проходить на копії сайту, з перевіркою сумісності й звітом про стан.
Жодна перевірка не дає стовідсоткової гарантії. Вона закриває типові помилки, але не замінює резервних копій і моніторингу.
Ваша думка допомагає нам створювати кращий контент
Допоможіть іншим дізнатись про це — поділіться статтею в соціальних мережах
Дякуємо, що допомагаєте нам рости
Пише про те, що робить руками: інтернет-магазини на OpenCart, застосунки на Next.js, інтеграції та швидкість сайтів. У статтях — заміри й перевірки, які читач може повторити на своєму проєкті, а не загальні поради. Комерційна розробка з 2015 року.
Відповіді на популярні питання по темі
У WordPress: Інструменти → Стан сайту → «Інформація» → «Сервер». Для інших CMS можна покласти в корінь тимчасовий файл із рядком <?php phpinfo(); відкрити його в браузері й одразу видалити: сторінка видає надто багато про сервер. Заголовок X-Powered-By теж показує версію, але його часто вимкнено.
Команда показує PHP для терміналу й cron. Сайт у браузері обслуговує PHP-FPM, Apache чи LiteSpeed, і це може бути інша версія. Ще буває так, що пакет оновили, а робочі процеси не перезапустили: вони виконують старий код, поки їх не перезапустять.
Не обов'язково. Debian і Ubuntu часто переносять виправлення в пакет зі старішим номером. Спитайте хостинг, чи входять у ваш пакет виправлення CVE-2026-109618 і CVE-2026-109619: це видно в журналі змін пакета.
Для 8.1 і старших офіційного виправлення немає. Залишаються перехід на гілку 8.2–8.5 з попередньою перевіркою плагінів на копії сайту або перенесення на сервер, де ви самі керуєте версією. Ми виконуємо обидва варіанти.
Підпишіться на нашу розсилку та отримуйте корисні поради, інсайти та новини про веб-розробку, маркетинг та бізнес.
Веб-розробкаStable, наш власний рушій інтернет-магазинів, у головній гілці вже працює на Laravel 13 і вимагає PHP 8.5. Розповідаємо, що змінилось, що ще в процесі і чого ми поки не стверджуємо.
Веб-розробкаУ PHP знайшли дві критичні вразливості (CVE-2026-109618 і CVE-2026-109619), їх уже використовують в атаках. Як за п’ять хвилин перевірити версію PHP, що оновити сьогодні і що робити, якщо сайт могли зламати.
E-commerce та БізнесКомісія від 4,2 %, 10 грн за кожне оформлене замовлення на сайті з власним доменом, а сайти на піддоменах, зареєстровані від 30.05.2025, не індексуються. Що ви платите Prom, що можна забрати з собою, що Prom і далі робить краще і як перевірити рішення за власним вивантаженням замовлень. Умови — за даними на 14.10.2026.
