• Безопасность и восстановление · PHP

Обновление версии PHP на сайте: после PHP2Shell старая версия — это открытая дверь

20 октября 2026 года обнародовали две критические уязвимости в самом интерпретаторе PHP — CVE-2026-109618 и CVE-2026-109619, известные как PHP2Shell. Аутентификация злоумышленнику не нужна, а уязвим любой сайт на PHP: WordPress, OpenCart, Joomla или самописный. Исправленные версии: 8.5.12, 8.4.27, 8.3.36 и 8.2.35. Для PHP 8.1 и старше официального исправления нет, только сборки хостингов и вендоров. Обновление — единственная надёжная защита, но на старом сайте оно упирается в плагины и модули, которые не работают на новой версии. Мы делаем его на копии, проверяем всё по шагам и оставляем вам письменный отчёт. Подробно о самом событии: в нашем блоге есть статья о PHP2Shell.

Посмотреть, как это работает
Стоимость
после бесплатного аудита
Гарантия
30 дней после подписания акта
Специализация
сайты и магазины; WordPress, OpenCart, Laravel
Стоимость
после бесплатного аудита
Гарантия
30
дней после подписания акта
Специализация
сайты и магазины; WordPress, OpenCart, Laravel
Срок
называем после разбора
Начало
бесплатный разбор состояния
Ответ
в течение 2 часов
Работа
по письменному договору
Что входит

Полный перечень работ и того, что вы получаете на выходе

  • инвентаризация версий PHP на сайте, поддоменах, тестовых копиях и сервере
  • проверка совместимости плагинов, тем и модулей на отдельной копии сайта
  • обновление PHP до исправленной версии с перезапуском всех процессов
  • замена или исправление того, что не работает на новой версии
  • лимиты размера и количества полей запроса, отключение лишнего, правила WAF
  • проверка признаков компрометации и смена секретов, если они есть
  • письменный отчёт: что обновлено, что осталось открытым и почему
Когда эта услуга не подходит

Что не входит в работу — чтобы не было сюрпризов на сдаче

  • гарантия, что сайт не взломают
  • расследование уже случившегося взлома: это отдельная работа
  • переписывание чужих плагинов и модулей, которые не поддерживаются
  • постоянный надзор после работы, если не договорено отдельно
Кому подходит

Ситуации, в которых эта услуга даёт результат

Сценарий 1 из 4

Сайт на PHP 7.x или 8.0–8.1

Для этих веток нет официальных исправлений PHP. Нужен переход на поддерживаемую версию или проверенная сборка от хостинга.

Разберём вашу ситуацию на бесплатном аудите
Бесплатный разбор состояния

Смотрим снаружи, что видно о сайте, и говорим, насколько это срочно. Часто это короткий разговор, а не работа.

Что мы измеряем

  1. Версия PHPСамое важное. Если она видна в заголовках, мы её видим. Если нет, просим вас посмотреть в панели хостинга.
  2. Хостинг и исправленные сборкиХостинги часто переносят исправления в старые пакеты без смены номера. Смотрим дату сборки и журнал изменений.
  3. Поддомены и копииСтарые тестовые сайты на том же аккаунте могут работать на другой, давно устаревшей версии.
  4. Плагины и модулиСколько их и сколько ещё поддерживается авторами. Именно они определяют, насколько сложным будет обновление.
  5. Резервные копииИ пробовали ли из них восстанавливаться. Обновление без проверенной копии делают только в крайней необходимости.

Что вы получаете

  • перечень версий на сайте и поддоменах
  • ответ, срочно ли и что можно сделать быстро
  • оценка объёма с разбивкой по этапам
  • честный ответ, если срочности нет

Срок: 1–2 рабочих дня

Почему это бесплатно

Версию и дату сборки проверяем за час. Не видим смысла брать за это деньги, а тем более пугать без оснований.

Что дальше

Вы получаете перечень и оценку. Дальше решаете сами, документ остаётся у вас.

Короткая форма: контакт и адрес сайта
Договор и документы

Работаем официально

Договор, акт и счёт — на каждый проект, а не только на большой.

Нам доверяют6 брендов

Нам доверяют: Kvant Energy, GYPSUN, Naturel Cosmetics, Pancer Protection, LUGI, BeeTech

Условия, зафиксированные письменно8 пунктов

  • Договор, акт и гарантия 30 дней

    На каждый проект письменный договор: объём, сроки, сумма, порядок приёмки. После сдачи — акт и счёт, затем 30 календарных дней гарантии.

  • ФОП и безналичный расчёт

    Исполнитель — зарегистрированный ФОП. Оплата на счёт с закрывающими документами.

  • Права и доступы — ваши

    Код, дизайн и материалы переходят к вам после полной оплаты. Домен, хостинг, репозиторий оформляем на вас.

  • Портал клиента вместо переписки

    Во время работы вы получаете доступ к порталу: договоры, счета, акты и статус проекта в одном месте.

  • Сайты в девяти странах

    Наши сайты работают в девяти странах: кроме Украины — Польша, Германия, Австрия, Англия, Норвегия, Болгария, Молдова, Испания.

  • Цифры, которые можно проверить

    Каждый кейс в портфолио — со ссылкой на живой сайт и техническим замером.

  • Сначала аудит, потом сумма

    Прайса на сайте нет намеренно: объём одной и той же работы у двух клиентов отличается кратно.

  • Говорим «нет», когда не уверены

    Если задача не наша или срок нереальный — скажем сразу.

  • Договор, акт и гарантия 30 дней

    На каждый проект письменный договор: объём, сроки, сумма, порядок приёмки. После сдачи — акт и счёт, затем 30 календарных дней гарантии.

  • ФОП и безналичный расчёт

    Исполнитель — зарегистрированный ФОП. Оплата на счёт с закрывающими документами.

  • Права и доступы — ваши

    Код, дизайн и материалы переходят к вам после полной оплаты. Домен, хостинг, репозиторий оформляем на вас.

  • Портал клиента вместо переписки

    Во время работы вы получаете доступ к порталу: договоры, счета, акты и статус проекта в одном месте.

  • Сайты в девяти странах

    Наши сайты работают в девяти странах: кроме Украины — Польша, Германия, Австрия, Англия, Норвегия, Болгария, Молдова, Испания.

  • Цифры, которые можно проверить

    Каждый кейс в портфолио — со ссылкой на живой сайт и техническим замером.

  • Сначала аудит, потом сумма

    Прайса на сайте нет намеренно: объём одной и той же работы у двух клиентов отличается кратно.

  • Говорим «нет», когда не уверены

    Если задача не наша или срок нереальный — скажем сразу.

NDA подписываем по запросу. После завершения свои доступы удаляем сами.

Что влияет на стоимость

Почему две одинаковые на вид задачи считаются по-разному

  • С какой версии на какуюС 8.1 на 8.3 — одно. С 5.6 или 7.0 на 8.4 затрагивает большинство плагинов и тему, это другой по объёму труд.
  • Количество плагинов и модулейКаждый — чужой код. Не поддерживаемый автором приходится заменять или исправлять.
  • Самописный кодЕго совместимость проверяется только чтением и запуском, поэтому требует больше времени.
  • Количество сайтов и серверовИнвентаризация нескольких проектов и поддоменов добавляет времени на каждый.
Кейсы

Задачи и результат в цифрах — все показатели сняты нашим замером

выборка из 41 украинского интернет-магазина

Задача
Оценить техническую основу магазинов: есть ли пригодная карта сайта и обновляется ли платформа.
Решение
Внешнее измерение главной и одной товарной страницы из карты сайта: следы функций в HTML, разметка товара, цены и характеристик. Наличие следа, не качество реализации.
Результат
Замер 17 сентября 2026 года, 35 магазинов: PHP без поддержки безопасности: 2 сайта из 35; без пригодной карты сайта: 7 сайтов из 35; карта сайта ведёт на другой домен: 2 сайта из 35.
Отзывы

Что пишут заказчики на Kabanchik — дословно, без правок

Рекомендую виконавця - завжди на звязку, виконав завдання вповному об'ємі швидше, ніж вимагалось, по всім питанням отримав розгорнуті відповіді.

Оригинал

АртурОткатить сайт на Opencart к старому бэкапу с сохранением всех товаровОтзыв на Kabanchik
Очень рад, что нашёл такого графитного специалиста!

Оригинал

Петр В.Почистить сайт от вирусовОтзыв на Kabanchik

Не нашли свой случай?

Опишите, как это устроено у вас, — ответим, подходит ли «Обновление PHP и защита сервера» и что это значит в вашей ситуации. Без брифа и без звонка: один вопрос, один ответ.

Этапы работы

Прозрачные этапы с согласованием на каждом шагу

Общий срок:3–15 дней

  1. Инвентаризация

    1–2 рабочих дня

    Собираем версии PHP на всех сайтах, поддоменах и копиях и проверяем, есть ли исправленные сборки.

  2. Копия для проверки

    1–3 рабочих дня

    Поднимаем отдельную копию сайта. Обновлять живой сайт вслепую нельзя: совместимость видна только на практике.

  3. Обновление на копии

    1–7 рабочих дней

    Переходим на исправленную версию, проверяем основные сценарии, исправляем или заменяем несовместимое.

  4. Переход на живом сайте

    1 рабочий день

    Переключаем версию, перезапускаем все процессы PHP, проверяем страницы и ошибки.

  5. Харденинг и отчёт

    1–2 рабочих дня

    Лимиты запросов, отключение лишнего, мониторинг. Письменный отчёт, что сделано и что осталось.

Технологии и интеграции

На чём строим и с чем это соединяется

Стек

  • PHP
  • WordPress
  • OpenCart
  • WooCommerce
  • Laravel
  • nginx
  • Apache
  • PHP-FPM
  • LiteSpeed
  • Cloudflare
  • SSH

Интеграции

  • Cloudflare
  • cPanel
  • ISPmanager
  • Plesk
  • Telegram
  • Email
Обновить заранее или оставить как есть

Чем этот вариант отличается от альтернативы

Оставить старую версиюНаш подход
Защита от PHP2Shellостаётся уязвимымисправленная версия с перезапуском
Состояние сайта во время работыработает, пока не взломаютработает, обновление идёт на копии
Затратынулевые до события и непредсказуемые послезапланированные, известные заранее
Дальнейшие обновлениякаждая новая уязвимость становится постояннойпуть к поддерживаемой ветке
Что нужно от вас

Без этого не начнём — лучше подготовить заранее

  1. доступ к хостингу или серверу и к админке сайта
  2. какой хостинг и какая сейчас версия PHP, если знаете
  3. перечень плагинов, тем и модулей, особенно самописных
  4. есть ли резервная копия и пробовали ли из неё восстанавливаться
  5. кто с вашей стороны принимает работу
Если чего-то из этого нет — скажите, подскажем, как собрать или сделаем сами отдельной задачей.
Частые вопросы

Что спрашивают чаще всего — с конкретными ответами

Уязвим ли мой сайт на WordPress?

Да, если PHP на сервере не обновлён до исправленной версии. Уязвимости в самом PHP, а не в WordPress или плагине, поэтому обновление WordPress их не закрывает. Безопасные версии: 8.5.12, 8.4.27, 8.3.36 и 8.2.35 и новее.

Что делать, если у меня PHP 7.4 или 8.1?

Для этих веток нет официальных исправлений PHP. Есть сборки от хостингов и вендоров (например, cPanel, CloudLinux, TuxCare), которые переносят исправление в старые пакеты. Поэтому смотрите на дату сборки и журнал изменений, а не только на номер. Надёжнее перейти на поддерживаемую ветку.

Можно ли просто нажать переключатель версии в панели хостинга?

Технически да, но риск сломать сайт реальный: старые плагины, темы и модули могут не работать на новой версии. Поэтому мы сначала проверяем на копии, а на живом сайте переключаем тогда, когда знаем результат.

Вы гарантируете, что нас не взломают?

Нет, и любой, кто это гарантирует, говорит неправду. Обновление и харденинг заметно снижают риск, но не заменяют резервных копий и мониторинга.

Что делать, если сайт уже могли взломать?

Смените пароли и ключи, потому что память процесса могли прочитать, и восстановите сайт из копии, сделанной до 20 октября, после обновления PHP. Расследование взлома — отдельная работа, мы скажем об этом прямо на разборе.

Сколько это стоит и сколько длится?

Зависит от возраста сайта и количества плагинов. Публичного прайса нет намеренно: обновление свежего сайта и старого магазина с тридцатью модулями различаются по объёму. Сумму и срок называем после бесплатного разбора.

Узнаем, на какой версии работает ваш сайт

Проверим версию и исправленные сборки и скажем, насколько это срочно. Разбор бесплатный, отвечаем в течение 2 часов.

Смотреть кейсы
  • Ответ в течение 2 часов
  • Без обязательств
  • Работаем по договору

Прайса на сайте нет намеренно: объём той же работы у двух клиентов отличается в разы, и цифра «от» в этом случае ничего не объясняет. Сначала бесплатный аудит — считаем ваши страницы, дубли и скорость, — потом называем сумму и срок и фиксируем их в договоре.