Проверка сайта на уязвимость PHP (PHP2Shell) — бесплатно за 30 секунд

21 октября 2026 команда PHP выпустила экстренный патч для двух критических уязвимостей — CVE-2026-109618 и CVE-2026-109619 («PHP2Shell», CVSS 9.2). Взлом сайта выполняется без пароля и авторизации, эксплойт публичный, CISA внесла уязвимость в каталог KEV — атаки идут прямо сейчас. Миллионы сайтов работают на ветках PHP, для которых патчей нет вовсе.

Введите адрес — покажу, светит ли версия PHP, какая эра ядра у вашего Битрикса, кто ваш хостер и есть ли повод бить тревогу.

Проверить свой сайт

Взломщик вашего сайта, если вы ещё не проверились

Бесплатный экспресс-аудит · без регистрации

Ваш сайт находят люди. А нейросети?

CMS и современный стек радикально различаются в готовности к SEO, GEO и AEO. ChatGPT, Perplexity и Яндекс Нейро уже отвечают вашим клиентам — проверьте за 30–60 секунд, готов ли ваш сайт и что чинить первым.

Эталон — этот сайт: GEO-индекс 97 (A) · PageSpeed 92/100 · SEO 100/100 · llms.txt найден · AI-краулеры разрешены · замер 19.09.2026

Что случилось 21 октября 2026

Это не «очередная теоретическая дыра». Уязвимости нашли в самом интерпретаторе PHP — в обработке фатальных ошибок и исчерпания памяти: внешний запрос может оставить внутреннее состояние движка в «полусобранном» виде и получить выполнение кода от имени пользователя, под которым работает сайт. CMS не важна — важно лишь, пропатчен ли ваш бинарник PHP.

Патчевые версии: 8.2.35, 8.3.36, 8.4.27, 8.5.12 и новее в своих ветках.
Для EOL-веток 7.4 / 8.0 / 8.1 патчи существуют только как исходниковые бэкпорты — их должен был собрать и установить ваш хостер или админ сервера.
Для PHP 5.x и 7.0–7.3 бэкпортов не делали вообще. Единственный выход — миграция.

Почему это бьёт по бизнесу, а не только по айтишникам

Взлом сайта на старом PHP — это не только дефейс. Классический сценарий: с сервера уводят базу клиентов — имена, телефоны, заказы, а иногда и платёжные реквизиты. По закону (поправки об оборотных штрафах за утечки персональных данных, 2025) утечка клиентской базы — это штраф Роскомнадзора: миллионы рублей за первичный факт и оборотные штрафы при повторных. Плюс простой магазина, попадание в чёрные списки и недоверие клиентов. Дешевле проверить за 30 секунд и закрыть вопрос, чем объясняться после.

Как работает наша проверка

Мы отправляем к вашему сайту только обычные GET-запросы — те же, что браузер любого посетителя: главная страница, страница авторизации Битрикса. По ответам определяем:

светится ли версия PHP и в какой она ветке;
какая CMS работает и какая эра ядра у 1С-Битрикса (старое ядро несовместимо с PHP 8 — значит, интерпретатор на сервере старый);
сервер и ОС по заголовкам, хостера по IP;
сводный вердикт: «в порядке» / «уязвим» / «требует проверки у хостера».

Честно о границах метода: если сайт не отдаёт версию наружу (это правильная практика), дистанционная проверка честно скажет «версия скрыта» и подскажет, где посмотреть точно — в панели хостинга. Такая проверка не заменяет аудит сервера, но закрывает 90% типовых случаев.

Что делать, если сайт уязвим

Свой сервер / VPS: обновить PHP до пропатченной версии и перезапустить PHP-FPM. Проверить, что реально запущен новый бинарник: php -i | grep 'Build Date' — дата сборки должна быть не раньше 21.10.2026.
Shared-хостинг: в панели управления сменить версию PHP на 8.2+; если CMS несовместима — тикет хостеру про установленный бэкпорт.
Сайт на Битриксе со старым ядром: обновить PHP не выйдет — сначала миграция ядра. Это проект на дни, не на часы, и тянуть с ним после 21.10.2026 уже нельзя.

Миграцию ядра Битрикса, перевод на PHP 8 и аудит безопасности делаем под ключ — +7 (906) 311-77-69, hello@automata.sale, Telegram @automatasale.

Частые вопросы

Что такое PHP2Shell?

Пара критических уязвимостей PHP — CVE-2026-109618 и CVE-2026-109619, CVSS 9.2. Позволяет выполнить произвольный код на сервере без пароля и авторизации. Патчи вышли экстренным релизом 21 октября 2026; CISA внесла их в каталог KEV — уязвимость эксплуатируется активно, эксплойт публичный.

Мой сайт на 1С-Битриксе — он под угрозой?

Если ядро старее 18-й версии — почти наверняка да: такие ядра не работают на PHP 8, а для веток PHP 7.4 и старше патчей либо нет вообще, либо они существуют только как исходниковые бэкпорты, которые должен был вручную применить ваш хостер или админ. Наша проверка определяет эру ядра по отпечаткам сайта.

Проверка безопасна для моего сайта?

Да. Мы отправляем только обычные GET-запросы — ровно те же, что отправляет браузер посетителя: главная страница, robots.txt, страница авторизации. Никаких попыток взлома, эксплойтов и «пробивающих» запросов. Это дистанционная разведка по открытым данным, а не атака.

Что делать, если сайт уязвим?

Обновить PHP до пропатченной версии (8.2.35+, 8.3.36+, 8.4.27+ или 8.5.12+) и перезапустить PHP-FPM. Если сайт несовместим с PHP 8 — сначала миграция ядра CMS, потом интерпретатора. Мы делаем такие проекты под ключ: аудит, миграция Битрикса, перевод на PHP 8.