Дали вашиот WordPress сајт е безбеден? Проверете го по PHP2Shell

октомври 22, 2026 | Влатко Митов

Вашата веб-страница денес се отвора нормално, контакт-формуларот работи, а на WordPress контролната табла нема предупредување за ново ажурирање. Дали тоа значи дека сè е безбедно? Не нужно. Безбедносниот инцидент познат како PHP2Shell покажа дека ризик може да постои и под самата WordPress инсталација, во софтверот со кој серверот ја извршува веб-страницата.

На 21 октомври 2026 година, PHP објави итни поправки за две критични ранливости, CVE-2026-109618 и CVE-2026-109619. Тие се оценети со 9,2 според CVSS 4.0 и, во погодени конфигурации, можат да овозможат извршување код на сервер без претходна најава. Ова е сериозно предупредување, но не и причина автоматски да се заклучи дека WordPress е небезбеден или дека секој сајт е нападнат. Официјалниот PHP извештај ги наведува закрпите и засегнатите окружувања.

За сопственикот на еден бизнис поважно од сложените детали за програмската меморија е друго прашање: како да утврдам дали мојот WordPress сајт е изложен и кој треба да преземе нешто? Овој водич е наменет токму за тоа. Не мора да бидете програмер, но треба да знаете кои информации да ги побарате и како да препознаете кога е потребна стручна интервенција.

Прво разберете каде е проблемот: WordPress и PHP не се исто

WordPress е системот преку кој уредувате страници, производи, вести и други содржини. PHP е дел од серверската технологија што овозможува WordPress да ги обработува тие содржини и барањата на посетителите. Хостингот, веб-серверот, PHP, базата на податоци, WordPress и неговите додатоци се различни слоеви на иста услуга.

Во случајот со PHP2Shell, ранливоста е откриена во PHP, а не во WordPress Core. Затоа може да биде изложена и веб-страница со ажуриран WordPress и исправни додатоци ако под нив работи незакрпена PHP инсталација. Од друга страна, користењето WordPress само по себе не докажува дека вашиот сервер е ранлив. Ризикот зависи од реалната верзија, од тоа дали има применета официјална закрпа и од серверската конфигурација.

Ова разграничување е важно затоа што насочува кон вистинското решение. Дополнителен безбедносен plugin, промена на WordPress лозинката или ажурирање на темата не можат да ја заменат неопходната серверска поправка. Таквите мерки и понатаму се корисни за други закани, но не го решаваат PHP2Shell.

Како да проверите која PHP верзија ја користи вашиот WordPress сајт

Проверка преку WordPress Site Health

Ако имате администраторски пристап, во WordPress отворете Tools > Site Health > Info > Server и побарајте ја ставката PHP version. Во преведени административни панели називите може да се разликуваат, но информацијата се наоѓа во делот за здравјето на системот и серверските податоци. Ова е наједноставниот прв чекор за да дознаете што користи конкретната веб-страница.

Бројот што ќе го видите запишете го, но немојте веднаш да носите конечен заклучок. На managed хостинг, системската верзија понекогаш содржи безбедносни поправки вградени од производителот на оперативниот систем, иако основната ознака изгледа постара. Освен тоа, повеќе веб-страници на ист сервер можат да користат различни PHP верзии.

Проверка преку хостинг контролниот панел

Во cPanel, Plesk или друга хостинг платформа побарајте ги опциите PHP Selector, MultiPHP Manager, PHP Settings или соодветното мени за управување со PHP. Проверете ја верзијата поврзана токму со доменот што ве интересира. Ако хостирате повеќе сајтови, проверката направете ја за секој поединечно.

Корисниците на managed сервери често немаат дозвола самостојно да ги менуваат системските пакети. Тоа не е проблем само по себе, под услов да постои јасна одговорност кај провајдерот за безбедносните ажурирања. Во овој случај, најправилно е да побарате писмена потврда за статусот на закрпите.

Кои PHP верзии треба да ги побарате по 21 октомври 2026?

Според официјалното PHP безбедносно соопштение, првите изданија што ги содржат исправките за двете критични ранливости се следните:

PHP гранка	Прва закрпена верзија	Што значи за вас
PHP 8.5	8.5.12	Проверете дали е инсталирана оваа или понова верзија од истата гранка.
PHP 8.4	8.4.27	Потребна е оваа или понова закрпена верзија.
PHP 8.3	8.3.36	Потребна е оваа или понова закрпена верзија.
PHP 8.2	8.2.35	Проверете ја закрпата и планирајте понатамошна миграција.
PHP 8.1 и постари	Нема редовно upstream издание	Побарајте доказ за поддржана vendor закрпа или план за надградба.

Важно е да не се меша бројот на PHP верзијата со статусот на конкретниот системски пакет. Ubuntu, на пример, потврди дека подготвил безбедносни исправки и за поддржаните дистрибуциски пакети. Затоа хостинг-провајдерот треба да може да потврди дали PHP2Shell е отстранет од активното PHP окружување, а не само да одговори „користите PHP 8.x“. Прочитајте го известувањето на Ubuntu.

Што точно да го прашате вашиот хостинг-провајдер?

Ако немате техничко лице што управува со серверот, не морате самостојно да ја решавате PHP2Shell ранливоста. Но потребно е да добиете конкретен, проверлив одговор. Наместо општо прашање дали хостингот е безбеден, испратете го следново барање:

Почитувани, ве молам потврдете која PHP верзија и кој PHP handler реално ги користи мојот домен, дали се применети безбедносните исправки за CVE-2026-109618 и CVE-2026-109619 (PHP2Shell), кој е датумот на последното ажурирање и дали активните PHP процеси се рестартирани по него. Ако е користена backported закрпа, ве молам наведете го точниот системски пакет или официјалното известување од добавувачот. Дали е потребна некаква интервенција од моја страна?

Ова барање има една едноставна цел: да ја замени претпоставката со одговорност и доказ. Не е доволно провајдерот да каже дека „серверите автоматски се заштитуваат“ ако не може да потврди дали конкретната исправка е применета.

Дали треба веднаш да ја менувате PHP верзијата?

Потребна е итна безбедносна поправка, но тоа не значи дека секој сопственик на сајт треба сам да избере најнова PHP гранка во контролниот панел без проверка. Промената на PHP може да влијае врз постари додатоци, сопствен код, форми, WooCommerce интеграции и делови од темата. Правилниот пристап зависи од тоа дали се применува безбедносно ажурирање во рамките на истата гранка или премин кон нова главна верзија.

Кај редовно одржуван WordPress, надградбата треба да биде контролирана: проверка на резервните копии, потврда на компатибилноста, инсталирање на безбедносната поправка и функционален тест. Ако серверот е изложен на критична ранливост, нема оправдување поправката да се одложува со недели поради редовниот план на одржување. Но исто така нема причина непроверена промена да предизвика непотребен прекин во продажбата.

По ажурирањето, проверете што навистина работи

Откако провајдерот или техничкиот тим ќе потврди дека PHP е закрпен, прегледајте ја веб-страницата од перспектива на вистински посетител. Не е доволно само почетната страница да се отвора. За корпоративен сајт проверете дали работат контакт-формуларот, мобилното мени, најважните landing страници и испраќањето пораки. За сајт со резервации или кориснички профили проверете ги најавувањето, формуларите и автоматските известувања.

Посебно внимание за WooCommerce продавници

Ако продавате преку WooCommerce, не ја завршувајте проверката пред да направите контролиран тест на процесот за купување. Отворете производ, додадете го во кошничка, проверете го checkout процесот, евентуалните купони, доставата и поврзаноста со платежниот систем. За тестови со вистински плаќања користете безбеден договорен метод или тест-околина, без непотребно создавање реални нарачки.

Исто така, проверете ги автоматските е-пораки, состојбата на залихите и синхронизацијата со надворешни системи доколку ги користите. Мал проблем во овие функции можеби нема веднаш да го забележите на насловната страница, но може директно да влијае врз прометот и корисничкото искуство.

Дали Cloudflare и WordPress security plugin се доволна заштита?

Cloudflare објави посебни WAF правила за PHP2Shell и информираше за забележани обиди за експлоатација. Таквата заштита може да филтрира дел од злонамерните барања пред да стигнат до серверот, што е корисно особено во периодот додека се инсталираат поправките. Но Cloudflare јасно ја третира заштитата како дополнителна мерка, а не како замена за ажурирањето на PHP.

Слично важи и за безбедносните WordPress додатоци. Тие можат да помогнат во контрола на најавите, известување за сомнителни промени и заштита од одредени напади на апликациско ниво. PHP2Shell, меѓутоа, може да се активира пред WordPress да започне да го извршува својот код во одредени серверски поставувања. Затоа ниту еден WordPress plugin не треба да се претставува како целосна замена за PHP security patch.

Има уште едно практично прашање: ако користите Cloudflare, проверете дали посетителите можат директно да пристапат до IP адресата на оригиналниот сервер. Ако можат, дел од сообраќајот може да ја заобиколи заштитата на Cloudflare. Ова е задача за серверскиот администратор, не нешто што треба да го решавате со промени наслепо.

А што ако сајтот веќе бил нападнат?

PHP2Shell не значи дека секоја изложена инсталација е компромитирана. Но ако постојат необични измени на датотеки, нови непознати администратори, неочекувани пренасочувања, PHP грешки или сомнителни настани во серверските логови, потребна е техничка истрага. Не ги мешајте автоматските обиди за напад со доказ за успешен упад, но немојте ниту да ги игнорирате.

Прегледот треба да ги опфати веб-серверските и PHP логовите, релевантните WAF настани и интегритетот на датотеките, според тоа кои податоци навистина се достапни. Бидејќи постојат информации за обиди за експлоатација пред официјалното објавување, анализата на инцидент не треба нужно да почнува само од датумот кога сте дознале за проблемот. NCSC-NL одржува оперативни информации за ранливостите и постапувањето.

Ако се потврди компромитација, едноставно ажурирање на PHP не е доволно. Потребни се утврдување на опсегот, отстранување на неовластените промени, проверка на пристапните податоци и безбедно обновување. Резервната копија може да помогне, но мора да се провери дали и таа не содржи компромитирани датотеки.

Како да знаете дали вашата WordPress веб-страница навистина се одржува?

Еден безбедносен инцидент не мора да се претвори во општа паника. Треба, сепак, да биде повод да проверите дали постои јасен договор кој се грижи за веб-страницата откако таа ќе биде објавена. Кој ги следи критичните предупредувања за PHP? Кој ја ажурира серверската околина? Кој ги тестира формуларите и продажниот процес по интервенција? Кој има пристап до резервните копии и дали некогаш е проверено нивното обновување?

Ако немате прецизни одговори, проблемот не е во тоа што сте избрале WordPress. Проблемот е во недефинираната техничка одговорност. WordPress останува разумен и флексибилен избор за огромен број компании, но неговите предности се реализираат кога и развојот и одржувањето се организирани професионално.

За поширока слика за секојдневните обврски, прочитајте го нашиот претходен водич Што навистина значи WordPress maintenance?. Таму детално објаснуваме зошто техничкото одржување е многу повеќе од повремено притискање на копчето Update.

WordPress не треба да ве плаши. Треба да знаете кој се грижи за него.

Ако од PHP2Shell треба да извлечеме една корисна поука за сопствениците на веб-страници, таа е дека добрата заштита не се мери според тоа колку безбедносни додатоци се инсталирани. Таа се гледа во способноста да се открие реалниот проблем, да се ажурира вистинската компонента и да се потврди дека веб-страницата продолжува сигурно да ја исполнува својата деловна функција.

Не ви е потребно да станете експерт за PHP за да донесете добра деловна одлука. Потребно е да знаете какви прашања да поставите, од кого да барате проверливи одговори и кому му е доверена одговорноста за вашиот сајт. А кога тие работи се поставени правилно, WordPress може да остане сигурна и долгорочно одржлива основа за вашето дигитално присуство.

Побарајте проверка на вашата WordPress веб-страница

Ако не знаете која PHP верзија ја користи вашата веб-страница, дали хостингот ги применил потребните безбедносни закрпи или кој ја проверува стабилноста по ажурирање, обратете ни се. Преку WordPress Service на Vebstrana.com можете да испратите барање со адресата на вашиот сајт и краток опис на состојбата. Ќе разгледаме што треба да се провери и каква техничка постапка е соодветна за конкретната инсталација.

За читателите што сакаат подлабока анализа на причините, класите на мемориски ранливости и архитектонските импликации, достапна е и деталната експертска анализа на DMCreative.pro (на англиски јазик). Овој практичен водич е наменет првенствено за сопствениците на веб-страници што сакаат да знаат што конкретно да преземат.

Корисни официјални извори

Информациите и верзиите во овој текст се актуелни на 22 октомври 2026 година. Конкретните технички интервенции треба да се утврдат врз основа на конфигурацијата на серверот и официјалните ажурирања од соодветниот добавувач.

Ознаки: