Ако сайтът или онлайн магазинът ви работи на PHP, а всеки WordPress и OpenCart сайт работи на PHP, той вероятно е бил уязвим през последните седмици, както съобщиха официално. Проверете го сега, не след като нещо се случи.
Какво се случи: PHP2Shell
На 21 октомври 2026 г. екипът на PHP пусна спешни обновления за две критични уязвимости в самия език, известни като PHP2Shell (CVE-2026-109618 и CVE-2026-109619). И двете имат оценка 9.2 от 10 по CVSS и позволяват на атакуващ да изпълни собствен код на сървъра без да влиза в профил. На практика това означава пълен достъп до сайта, базата данни с клиенти и поръчки. Ситуацията е сериозна по три причини:
- Засегнати са почти всички версии – от PHP 5.4 до 8.5.11. Тоест и най-новите, и най-старите сайтове.
- Атаките започнаха преди поправката. Подробностите изтекоха в интернет на 20 октомври, а Amazon засече опит за атака още на 17 октомври. Cloudflare и watchTowr потвърдиха реални атаки.
- Американската агенция CISA добави уязвимостите в каталога си на активно използвани атаки на 26 октомври.
Проблемът е в самия PHP, а не в WordPress или OpenCart. Затова обновяване на плъгин или тема не го решава – решава го единствено обновяване на PHP до поправена версия: 8.5.12, 8.4.27, 8.3.36 или 8.2.35.
За сайтовете на остарели версии (PHP 7.4, 8.0, 8.1) няма официално издание с поправката. PHP публикува само изходен код за самостоятелно компилиране, а някои хостинг доставчиците и панел доставчиците като cPanel, CloudLinux, Plesk и др., предлагат свои пачнати пакети.
За PHP 7.3 и по-стари няма поправка и тя не се очаква да бъде поправена.
WordPress: коя версия с кое PHP работи
Много WordPress сайтове в България все още са на PHP 7.4 или 7.3, защото „работят и така“. Ето докъде може да стигне WordPress на тези версии:
| WordPress версия | Минимално PHP | Работи с PHP 7.3 | Работи с PHP 7.4 |
|---|---|---|---|
| 7.0 – 7.1 (2026) | 7.4 | Не | Да (само за обратна съвместимост) |
| 6.6 – 6.9 | 7.2.24 | Да – последният клон за 7.3 | Да |
| 6.3 – 6.5 | 7.0 | Да | Да |
| 5.3 – 6.2 | 5.6.20 | Да | Да (от 5.3 насам) |
| 5.0 – 5.2 | 5.6.20 | Да | Частично |
Изводът: сайт на PHP 7.3 остава заседнал на WordPress 6.9 и не получава версия 7.x. WordPress 7.0 вдигна минимума до PHP 7.4 и спря поддръжката на 7.2 и 7.3. Сайт на PHP 7.4 получава най-новия WordPress, но самото PHP 7.4 не получава официални пачове от 2022 г. WordPress официално препоръчва PHP 8.3 или по-нова, а за нови инсталации – 8.4 или 8.5.
Онлайн магазини на OpenCart и тема Journal 3
При OpenCart картината е по-сложна, защото версията на платформата, темата и PHP трябва да си пасват. Много магазини са на OpenCart 3.0.3.x с тема Journal и не могат просто да „превключат“ на ново PHP, без сайтът да спре.
Съвместимост OpenCart ↔ PHP
| Версия на OpenCart | Поддържано PHP | Бележка |
|---|---|---|
| 4.1.0.4 (авг. 2026) | 8.1 – 8.5 | Пълна поддръжка на PHP 8.5 |
| 4.1.0.0 (яну. 2025) | 8.0+ | |
| 4.0.2.x | 8.0 – 8.2/8.3 | |
| 4.0.0.0 – 4.0.1.x | 8.0 / 8.1+ | |
| 3.0.5.1 (авг. 2026) | 8.0 – 8.5 | Пълна поддръжка на PHP 8.5 |
| 3.0.5.0 | 8.x | PHP 8.5 само частично |
| 3.0.4.0 (2024) | 8.0 – 8.3 | |
| 3.0.3.9 (2023) | 8.0 – 8.2 | Първата 3.x версия с реално PHP 8 |
| 3.0.3.7 – 3.0.3.8 | 7.3 – 7.4 | PHP 8.0 частично |
| 3.0.3.0 – 3.0.3.6 | 5.6 – 7.3 | На 7.4 има грешки при вход на клиенти |
Съвместимост Journal 3 ↔ OpenCart ↔ PHP
| Версия на Journal | OpenCart | PHP |
|---|---|---|
| 3.2.0 – 3.2.10 (фев. 2025 – юли 2026) | 3.0.x и 4.x | 8.x (PHP 8 само с OpenCart 3.0.3.7+) |
| 3.1.13 (окт. 2023) | до 3.0.3.9 | Добавено PHP 8.1 и 8.2 |
| 3.1.0 – 3.1.12 | до 3.0.3.8 | 7.3 – 7.4 |
| 3.0.x (2018 – 2020) | 2.3.x, 3.0.x | 7.x (препоръчано 7.3) |
Изводът: магазин на OpenCart под 3.0.3.9 или Journal под 3.1.13 практически не може да работи на поддържано PHP. Такъв магазин е изложен на атаки като PHP2Shell без възможност за официален пач.
Безопасната комбинация днес е OpenCart 3.0.5.1 или 4.1.0.4 + Journal 3.2.10 + PHP 8.3 или 8.4.
Внимание: Journal 3.2 е почти изцяло пренаписан и може да счупи стари разширения, затова преходът изисква тестова среда.
Препоръка от eWeb.bg: само официално поддържано PHP
Дръжте сайта си единствено на PHP версия с официална поддръжка. Към края на октомври 2026 г. това са четири версии (php.net):
| PHP версия | Статус | Пачове за сигурност до |
|---|---|---|
| 8.5 | Активна поддръжка | 31.12.2029 |
| 8.4 | Активна поддръжка | 31.12.2028 |
| 8.3 | Само сигурност | 31.12.2027 |
| 8.2 | Само сигурност | 31.12.2026 |
Само тези версии получават официален пач, когато се открие нова уязвимост. При PHP2Shell поправката излезе ден след изтичането на информацията, а добрите хостинг доставчици я приложиха в рамките на часове.
Сайт на PHP 7.4, 8.0 или 8.1 остава зависим от това дали хостингът ще предложи собствен пач – и кога.
Ако сте на PHP 8.2, планирайте прехода към 8.3 или 8.4 още сега, а не през януари.
Задължително: проверка от специалист
Обновяването на PHP затваря вратата, но не казва дали някой вече е влязъл. Атаките започнаха дни преди поправката, затова всеки сайт, който е работил на PHP между 17 и 21 октомври, както и към момента е с php по-ниско от версия 8.2, трябва да бъде проверен. Специалистът проверява:
- коя PHP версия реално използва сайтът и дали е коригиранта;
- за непознати PHP файлове, скрити скриптове (web shells) и променени системни файлове;
- за нови администраторски профили и подозрителни задачи (cron);
- дали има изтичане на данни на клиенти и поръчки;
- дали темата и модулите са съвместими с новата PHP версия и може да бъде обновен.
Не разчитайте само на това, че „сайтът се отваря нормално“. Добре направената атака не се вижда отвън. Заявете проверка на сайта си от екипа на eWeb.bg – ще ви кажем дали сайтът ви е защитен и какво трябва да се направи.
Защо ви трябва техническо лице през цялата година
PHP2Shell показа нещо важно: един проблем, за който собственикът на сайта дори не знае, може да спре онлайн бизнеса му буквално на следващия ден. Хакнат магазин означава спрени поръчки, изтекли лични данни, блокиране от Google и хостинга, а често и отговорност по GDPR. Сигурността не е еднократна задача. Тя изисква човек, който:
- следи за нови уязвимости и реагира в рамките на часове, а не седмици;
- обновява PHP, CMS платформата, темата и модулите в правилния ред, с тест преди това;
- прави редовни резервни копия, от които сайтът може да бъде възстановен;
- знае кои версии са съвместими и кога е време за миграция, преди сайтът да остане без поддръжка.
За повечето бизнеси това не е работа за собственика или за „някой, който разбира от компютри“. Цената на една година професионална поддръжка е малка спрямо загубите от един ден спрян магазин. Доверете се на програмист, който познава вашия сайт. Екипът на eWeb.bg поддържа WordPress сайтове и OpenCart магазини целогодишно – вижте поддръжка на сайт, поддръжка на WordPress сайт и поддръжка на OpenCart магазин, или ни се обадете на 0878 900 906.
