Термінове оновлення PHP: безпечний порядок дій
Автор: Редакція Domeny.ForSale Опубліковано
Коротко: Якщо для PHP, який використовує ваш сайт, опубліковано виправлення безпеки, заплануйте їх термінове встановлення. Спершу визначте версію PHP, що обслуговує сайт, створіть резервну копію та перевірте сумісність сайту з оновленням. Подробиці повідомлення, зазначеного як публікація від 20 жовтня 2026 року, потрібно підтвердити на офіційному сайті PHP — без перевірки його змісту неможливо достовірно назвати конкретні вразливості чи номери випусків із виправленнями.
Що оновлення PHP змінює на вашому сайті
PHP — це середовище, яке виконує код застосунку на сервері. Його використовують, зокрема, WordPress, а також численні інтернет-магазини та застосунки, створені на замовлення. Оновлення WordPress не оновлює автоматично PHP: це окремі компоненти, якими зазвичай керують у різних місцях.
Вразливість у PHP може стосуватися конкретного механізму, розширення або способу обробки даних. Її значення залежить від конфігурації сервера та роботи застосунку. Сам факт використання PHP не доводить, що сайт зазнав атаки, але й відсутність видимих проблем не підтверджує його безпеки.
В офіційному повідомленні PHP насамперед перевірте, яких версій стосується проблема, які випуски містять виправлення та чи потрібна для використання вразливості певна конфігурація. Якщо не можете оцінити ці умови, передайте повідомлення адміністратору або службі технічної підтримки хостингу. Не ухвалюйте рішення лише на підставі короткої звістки про «критичну вразливість».
Як перевірити версію PHP, яку використовує сайт
Найпростіше зайти в панель керування хостингом і знайти налаштування PHP для конкретного домену. У WordPress відомості про серверне середовище також доступні в інструменті «Стан сайту», на вкладці з інформацією. Перевірте кожен важливий сайт окремо — різні домени в одному обліковому записі можуть використовувати різні версії.
Якщо маєте доступ до термінала, команда php -v покаже версію PHP, доступну в командному рядку. Це не обов’язково та сама версія, яка обслуговує вебсайт. Порівняйте результат із конфігурацією сайту в панелі або попросіть адміністратора підтвердити версію.
Не розміщуйте у відкритому доступі файл із функцією phpinfo(). Він розкриває подробиці конфігурації, які не мають бути доступними випадковим відвідувачам. Якщо такий файл створили для діагностики, видаліть його після перевірки середовища.
Що доручити хостинг-провайдеру, а що зробити самостійно
На спільному хостингу виправлення PHP зазвичай встановлює провайдер. Однак користувач може й надалі відповідати за вибір підтримуваної гілки версій PHP і сумісність застосунку. Сама наявність новішої версії в панелі не означає, що ваш домен уже її використовує.
До служби технічної підтримки можна надіслати коротке повідомлення:
Прошу підтвердити, яка версія PHP обслуговує мій домен і чи містить вона виправлення з повідомлення PHP, зазначеного як публікація від 20 жовтня 2026 року. Якщо потрібно змінити версію, прошу вказати доступний підтримуваний варіант і спосіб відновлення попередньої конфігурації в разі проблем.
На власному VPS або виділеному сервері оновлення виконує адміністратор, якщо воно не входить до послуги адміністрування. Він має перевірити пакети PHP, використовувані розширення та процеси, що обслуговують сайт, наприклад PHP-FPM. Постачальники дистрибутивів операційних систем можуть надавати виправлення, не змінюючи номер версії на той, що відповідає найновішому випуску PHP; у такому разі підтвердженням є повідомлення про безпеку від постачальника пакетів.
Безпечне оновлення крок за кроком
Встановлення виправлення в межах поточної гілки версій PHP і перехід на іншу гілку — це різні зміни. Другий варіант може потребувати адаптації коду, плагінів або серверних розширень. Тому не вибирайте навмання найбільший номер версії, доступний у панелі.
- Створіть резервну копію файлів і бази даних. Переконайтеся, що знаєте, як відновити сайт, а копія буде доступною навіть у разі проблем із хостингом.
- Перевірте сумісність застосунку. Перевірте вимоги системи, теми, плагінів і бібліотек. За потреби оновіть залежності.
- Протестуйте зміну на копії сайту. Тестове середовище має якомога точніше відповідати робочому. Вимкніть у ньому справжні платежі та надсилання повідомлень клієнтам.
- Встановіть оновлення в узгоджений час. Якщо вразливість активно використовують для атак, не відкладайте дії лише заради очікування ідеального часу для технічного обслуговування.
- Перевірте функції та журнали помилок. Протестуйте вхід до облікового запису, форми, надсилання пошти й періодичні завдання, а в магазині — також кошик і платежі в тестовому режимі.
Наприклад, головна сторінка магазину після оновлення може виглядати справною, хоча збій у старому платіжному плагіні проявиться лише під час оформлення замовлення. Самого відкриття сайту недостатньо, щоб вважати оновлення успішним.
Що робити, якщо сайт несумісний із безпечною версією
Повернення до попередньої конфігурації може тимчасово відновити роботу, але не усуває вразливості. Якщо скасовуєте зміну, водночас визначте строк виправлення застосунку. Залежно від загрози адміністратор може порадити тимчасово вимкнути вразливу функцію, обмежити доступ або зробити технічну перерву.
Оновлення PHP також не усуває наслідків попереднього зламу. Якщо з’явилися невідомі облікові записи адміністраторів, змінені файли чи підозрілі перенаправлення, потрібна окрема перевірка безпеки.
Перший практичний крок: уже сьогодні визначте версію PHP, що обслуговує домен, і отримайте підтвердження, чи містить вона потрібні виправлення. Лише на цій підставі обирайте між встановленням виправлення, переходом на іншу гілку версій PHP і терміновим виправленням несумісного застосунку.
Дивіться також: Чи варто змінювати домен у наявному проєкті?
Читайте також
