PHP уязвимости: какво да направите с вашия сайт

PHP уязвимости от най-висок приоритет разтърсиха интернет на 21 октомври 2026 г.: PHP Foundation пусна корекция за две критични грешки, а според TechCrunch американската NSA съветва организациите или да обновят веднага, или да изключат системите си до обновяването. Засегнати са всички версии от PHP 5 (2004 г.) насам, а езикът работи на около 70% от уебсайтовете. Според Engadget, който се позовава на Reuters, правителства в Нидерландия, Дания, Франция и Финландия свалиха част от сайтовете си като предпазна мярка. Ако поддържате сайт на PHP – включително WordPress, – най-важното е да проверите при хостинга си дали корекцията вече е инсталирана.

Какво се случи с PHP на 21 октомври

PHP Foundation издаде извънредно обновление за сигурност, което поправя две критични уязвимости. Според TechCrunch те присъстват във всички версии на езика от PHP 5, пуснат през 2004 г., и могат да дадат на нападател достъп до файловата система на сървъра или до базата данни, която използва уеб приложението. Конкретни номера на уязвимости (CVE) и техническите детайли в публикациите, които прегледахме, не се посочват, затова тук не ги измисляме – следете официалното съобщение на PHP Foundation.

Мащабът е причината за тревогата. По данни, цитирани от TechCrunch, PHP работи на около 70% от уебсайтовете, а според някои оценки засегнатите сайтове са над 33 милиона. Временният изпълнителен директор на Drupal Тифани Фариш е предупредила, че „всички сървъри, използващи която и да е версия на PHP, пусната през последните 20 години, ще бъдат уязвими“ – цитат, който предава Engadget.

Кой откри грешките и как

Необичайното в случая е, че уязвимостите са намерени с изкуствен интелект. Инициативата на OpenAI „Patch the Planet“ е включила компанията за сигурност Calif, която с модела GPT-5.6 Sol е открила една от грешките; OpenAI я описва в свой блог пост. Екипът на Wiz, собственост на Google, е използвал агента Wiz Atlas, Gemini 4 Argon и GPT-5.6 Sol и е открил няколко уязвимости.

И двата екипа са действали по правилата на отговорното разкриване – първо са работили с PHP върху корекциите и чак след това са оповестили откритията. Wiz благодари на Automattic, Akamai, AWS, Cloudflare, Fastly, Imperva, Microsoft и Vercel за помощта при тестването на корекциите. Според OpenAI грешките са намерени, преди нападатели да ги открият, и засега няма съобщения за експлоатация в реални атаки.

Правителствата свалиха сайтове

Според Engadget, цитиращ Reuters, Нидерландия, Дания, Франция и Финландия са свалили поне част от държавните си сайтове като предпазна мярка. Канадският министър на изкуствения интелект и цифровите иновации Евън Соломон е написал в X, че и Канада временно е изключила сайтове, и е призовал операторите на PHP сайтове да обновят възможно най-скоро. Американската агенция CISA е издала предупреждение, с което настоява организациите да приложат новата корекция, а Белият дом е заявил, че е научил за проблема в петък.

Имената на конкретните сайтове не са посочени, така че не можем да кажем кои услуги са били недостъпни. Практическият извод обаче е ясен: когато държави свалят сайтове, вместо да поемат риска, проблемът се възприема като сериозен и спешен.

Засегнат ли е WordPress и какво да направите

WordPress и Drupal работят върху PHP, но според TechCrunch от WordPress твърдят, че уязвимостта не е специфична за тяхната система. Това означава, че обновяването на самия WordPress или на добавките няма да реши проблема – корекцията трябва да се приложи на ниво сървър, тоест в самата PHP среда. Затова собствениците на сайтове трябва да работят с хостинг доставчика си, както съветва TechCrunch.

Ето какво да направите още днес, ако имате сайт, магазин или блог на PHP:

• Напишете на хостинга си и попитайте дали PHP вече е обновен до версията с корекцията за тези две уязвимости.
• Ако сте на споделен хостинг, проверете в панела (cPanel, Plesk) коя PHP версия е избрана и дали има по-нова.
• Ако управлявате собствен сървър, обновете PHP пакетите от официалното хранилище на вашата дистрибуция и рестартирайте PHP-FPM или уеб сървъра.
• Не оставайте на PHP 8.1 или по-стари версии – според TechCrunch те вече не се поддържат.
• Ако не можете да обновите веднага, обмислете временно изключване, както съветва NSA.

Кои версии са безопасни

Според TechCrunch текущата версия е PHP 8.5.12, а PHP 8.1 и по-старите не получават поддръжка. Не успяхме да потвърдим от първичен източник кои точно корекционни версии покриват по-старите клонове (8.2, 8.3, 8.4), затова проверете официалното съобщение на PHP Foundation, вместо да разчитате на предположения. Сайтове на неподдържани версии на практика нямат лесен път към корекция и трябва да мигрират към поддържан клон.

Защо AI променя играта за сигурността

Екипът на Wiz предупреждава, че изкуственият интелект може да помогне за адаптиране на експлойти към различни версии на PHP, конфигурации и подредби на паметта – бариера, която досега е предпазвала много сървъри. С други думи, времето между публикуването на корекция и първите опити за атака може да се скъси. Същата логика видяхме и в други случаи от последните дни, например при AI агентите, хакнали над 100 сайта за 5000 долара, и при атаката Storm-0940 с AI срещу над 2250 тенанта.

За OpenAI и Google случаят е и демонстрация на обратната страна – същите модели, които улесняват нападателите, откриват грешки преди тях. Вижте и как компаниите отчитат инцидентите си в материала ни OpenAI: още четири инцидента с AI агенти.

Какво означава това за България

В България огромен брой малки фирмени сайтове, онлайн магазини и блогове работят на споделен хостинг с PHP. Повечето собственици не управляват сървъра си и зависят изцяло от доставчика – затова първата стъпка е запитване към хостинга. Не открихме публично съобщение на български институции за свалени сайтове; ако такова се появи, ще го отразим. Следете и последните новини в рубриката ни Технологии – Новини.

Често задавани въпроси

Трябва ли да сменя паролите си? Съобщенията не говорят за изтичане на данни и за експлоатация в реални атаки. Все пак, ако сайтът ви е бил уязвим, е разумно да проверите логовете и да смените ключовете за достъп до базата данни след обновяването.

Достатъчно ли е да обновя WordPress? Не. Според WordPress проблемът не е специфичен за системата, а за PHP на сървъра, затова корекцията е на ниво хостинг.

Има ли вече атаки? OpenAI заявява, че грешките са намерени преди хакерите, и няма съобщения за експлоатация. Wiz обаче предупреждава, че AI може да ускори създаването на експлойти.