Проверка безопасности сайта
Проверка безопасности сайта
Проверяйте сайты, которыми владеете или на проверку которых есть разрешение. Инструмент читает только то, что видит обычный браузер, и никогда не шлёт эксплойты.
Беспокоит та самая уязвимость PHP, о которой все говорят? В октябре 2026 раскрыли две серьёзные дыры в самом PHP под названием PHP2Shell (CVE-2026-109618 и CVE-2026-109619). Они в ядре PHP, поэтому под ударом любой сайт на PHP: Magento, Shopware, WooCommerce, WordPress, Drupal, Joomla и другие, даже если ваш код идеально чист. Этот инструмент быстро и простым языком показывает ту часть проблемы, которую видно снаружи: не светит ли сайт старую версию PHP, и общее здоровье безопасности.
Насколько паниковать? Уязвимости оценены высоко (9,2 из 10) и в худшем случае позволяют выполнить код на сервере без входа. Но компания по безопасности Sansec 22 октября уточнила: массовых автоматических атак меньше, чем боялись, публичные эксплойты не работают на обычной установке PHP, и выводить магазин офлайн не нужно. Единственное действие, с которым согласны все: обновить PHP. Из кода магазина, темы или плагинов это не чинится: нужно обновить PHP на сервере или попросить хостинг.
Что инструмент говорит о вашем сайте. Он делает один обычный запрос, как браузер при открытии страницы, и превращает результат в короткий цветной отчёт: видна ли версия PHP и не устарела ли она; шифруется ли трафик действительным HTTPS-сертификатом; остаются ли посетители на защищённой версии; заданы ли защитные заголовки; и стоит ли впереди фаервол или CDN вроде Cloudflare. Каждая проверка пассивная: никаких атак, только чтение того, что видит любой посетитель. Версия снаружи, это сигнал, а не приговор: подтвердите на сервере командой php -v. Актуальные исправленные версии PHP: 8.2.35, 8.3.36, 8.4.27 и 8.5.12; PHP 8.1 и старше сняты с поддержки и требуют обновления или бэкпорт-пакета от хостинга.
- Октябрьская дыра PHP простыми словами: PHP2Shell (CVE-2026-109618 / CVE-2026-109619), это ошибка в самом PHP, поэтому уязвим любой сайт на PHP, включая Magento, Shopware, WooCommerce и WordPress, независимо от чистоты вашего кода.
- Не паникуйте, но обновите: массовых атак меньше, чем боялись, и магазин выключать не нужно, но решение, обновить PHP на сервере (исправленные 8.2.35, 8.3.36, 8.4.27, 8.5.12). Из кода магазина это не чинится.
- Здоровье PHP одним взглядом: инструмент показывает, видна ли версия PHP и выглядит ли она устаревшей, непропатченной или снятой с поддержки, первое, на что смотрит атакующий.
- HTTPS и сертификат: подтверждает, что трафик шифруется, а сертификат действителен, доверен и не истекает.
- Заголовки и фаервол: проверяет HSTS, Content-Security-Policy, защиту от кликджекинга и MIME-sniffing, а также стоит ли впереди WAF/CDN вроде Cloudflare, Sucuri, Akamai, Fastly или CloudFront.
- Пассивно и приватно: один обычный запрос, никаких эксплойтов, ничего не сохраняется, и результат можно скачать в PDF.
Как пользоваться проверкой безопасности?
Введите адрес сайта (например example.com) и нажмите «Проверить». Через несколько секунд появится отчёт простым языком с цветным вердиктом и списком пунктов. Кнопкой «Download PDF» можно сохранить его.
Покажет ли он, уязвим ли я к октябрьской дыре PHP (PHP2Shell)?
Он даёт сильный первый сигнал: если сервер раскрывает версию PHP, инструмент проверит, устарела ли она, непропатчена или снята с поддержки. Подтвердить эксплуатируемость он не может: это зависит от настройки сервера. Точная проверка, на сервере: php -v и changelog пакета (исправленные 8.2.35, 8.3.36, 8.4.27, 8.5.12). Если версия скрыта или за фаерволом, инструмент её не прочитает.
Мой PHP устарел, что делать?
Обновите PHP до поддерживаемой исправленной версии (8.2.35, 8.3.36, 8.4.27 или 8.5.12). Если у вас PHP 8.1 или старше, перейдите на поддерживаемую ветку или попросите у хостинга бэкпорт-пакет, затем перезапустите PHP-FPM или Apache. Если PHP управляется хостингом, попросите их применить октябрьское обновление. Это самое важное исправление.
Часто задаваемые вопросы
Это сканер уязвимостей?
Нет. Он никогда не шлёт эксплойты и не пытается сработать уязвимость. Он читает только HTTP-заголовки и TLS-сертификат, которые и так получает любой браузер, и объясняет их. Для точной проверки конкретной дыры вроде PHP2Shell следуйте официальному advisory и тестируйте на сервере.
Нужно ли выключать магазин из-за PHP2Shell?
По обновлению Sansec от 22 октября, нет. Массовых атак меньше, чем боялись, а публичные эксплойты не работают на обычной установке PHP. Правильное действие, обновить PHP, а не снимать магазин.
Инструмент не видит версию PHP, это плохо?
Обычно наоборот. Многие серверы прячут версию через expose_php=Off или стоят за фаерволом, блокирующим автоматические запросы, и это хорошо для безопасности. Если версию не видно снаружи, подтвердите её на сервере: php -v.
PHP показан как end-of-life, что делать?
PHP 8.1 и старше больше не получают официальных обновлений (с 2026), и официального фикса октябрьской дыры для них нет. Перейдите на поддерживаемую ветку (8.2 или новее) или попросите у хостинга бэкпорт-пакет. Устаревшая версия означает, что известные дыры остаются открытыми, это самое важное.
Проверка безопасности сайта
Проверяйте сайты, которыми владеете или на проверку которых есть разрешение. Инструмент читает только то, что видит обычный браузер, и никогда не шлёт эксплойты.
Беспокоит та самая уязвимость PHP, о которой все говорят? В октябре 2026 раскрыли две серьёзные дыры в самом PHP под названием PHP2Shell (CVE-2026-109618 и CVE-2026-109619). Они в ядре PHP, поэтому под ударом любой сайт на PHP: Magento, Shopware, WooCommerce, WordPress, Drupal, Joomla и другие, даже если ваш код идеально чист. Этот инструмент быстро и простым языком показывает ту часть проблемы, которую видно снаружи: не светит ли сайт старую версию PHP, и общее здоровье безопасности.
Насколько паниковать? Уязвимости оценены высоко (9,2 из 10) и в худшем случае позволяют выполнить код на сервере без входа. Но компания по безопасности Sansec 22 октября уточнила: массовых автоматических атак меньше, чем боялись, публичные эксплойты не работают на обычной установке PHP, и выводить магазин офлайн не нужно. Единственное действие, с которым согласны все: обновить PHP. Из кода магазина, темы или плагинов это не чинится: нужно обновить PHP на сервере или попросить хостинг.
Что инструмент говорит о вашем сайте. Он делает один обычный запрос, как браузер при открытии страницы, и превращает результат в короткий цветной отчёт: видна ли версия PHP и не устарела ли она; шифруется ли трафик действительным HTTPS-сертификатом; остаются ли посетители на защищённой версии; заданы ли защитные заголовки; и стоит ли впереди фаервол или CDN вроде Cloudflare. Каждая проверка пассивная: никаких атак, только чтение того, что видит любой посетитель. Версия снаружи, это сигнал, а не приговор: подтвердите на сервере командой php -v. Актуальные исправленные версии PHP: 8.2.35, 8.3.36, 8.4.27 и 8.5.12; PHP 8.1 и старше сняты с поддержки и требуют обновления или бэкпорт-пакета от хостинга.
- Октябрьская дыра PHP простыми словами: PHP2Shell (CVE-2026-109618 / CVE-2026-109619), это ошибка в самом PHP, поэтому уязвим любой сайт на PHP, включая Magento, Shopware, WooCommerce и WordPress, независимо от чистоты вашего кода.
- Не паникуйте, но обновите: массовых атак меньше, чем боялись, и магазин выключать не нужно, но решение, обновить PHP на сервере (исправленные 8.2.35, 8.3.36, 8.4.27, 8.5.12). Из кода магазина это не чинится.
- Здоровье PHP одним взглядом: инструмент показывает, видна ли версия PHP и выглядит ли она устаревшей, непропатченной или снятой с поддержки, первое, на что смотрит атакующий.
- HTTPS и сертификат: подтверждает, что трафик шифруется, а сертификат действителен, доверен и не истекает.
- Заголовки и фаервол: проверяет HSTS, Content-Security-Policy, защиту от кликджекинга и MIME-sniffing, а также стоит ли впереди WAF/CDN вроде Cloudflare, Sucuri, Akamai, Fastly или CloudFront.
- Пассивно и приватно: один обычный запрос, никаких эксплойтов, ничего не сохраняется, и результат можно скачать в PDF.
Как пользоваться проверкой безопасности?
Введите адрес сайта (например example.com) и нажмите «Проверить». Через несколько секунд появится отчёт простым языком с цветным вердиктом и списком пунктов. Кнопкой «Download PDF» можно сохранить его.
Покажет ли он, уязвим ли я к октябрьской дыре PHP (PHP2Shell)?
Он даёт сильный первый сигнал: если сервер раскрывает версию PHP, инструмент проверит, устарела ли она, непропатчена или снята с поддержки. Подтвердить эксплуатируемость он не может: это зависит от настройки сервера. Точная проверка, на сервере: php -v и changelog пакета (исправленные 8.2.35, 8.3.36, 8.4.27, 8.5.12). Если версия скрыта или за фаерволом, инструмент её не прочитает.
Мой PHP устарел, что делать?
Обновите PHP до поддерживаемой исправленной версии (8.2.35, 8.3.36, 8.4.27 или 8.5.12). Если у вас PHP 8.1 или старше, перейдите на поддерживаемую ветку или попросите у хостинга бэкпорт-пакет, затем перезапустите PHP-FPM или Apache. Если PHP управляется хостингом, попросите их применить октябрьское обновление. Это самое важное исправление.
Часто задаваемые вопросы
Это сканер уязвимостей?
Нет. Он никогда не шлёт эксплойты и не пытается сработать уязвимость. Он читает только HTTP-заголовки и TLS-сертификат, которые и так получает любой браузер, и объясняет их. Для точной проверки конкретной дыры вроде PHP2Shell следуйте официальному advisory и тестируйте на сервере.
Нужно ли выключать магазин из-за PHP2Shell?
По обновлению Sansec от 22 октября, нет. Массовых атак меньше, чем боялись, а публичные эксплойты не работают на обычной установке PHP. Правильное действие, обновить PHP, а не снимать магазин.
Инструмент не видит версию PHP, это плохо?
Обычно наоборот. Многие серверы прячут версию через expose_php=Off или стоят за фаерволом, блокирующим автоматические запросы, и это хорошо для безопасности. Если версию не видно снаружи, подтвердите её на сервере: php -v.
PHP показан как end-of-life, что делать?
PHP 8.1 и старше больше не получают официальных обновлений (с 2026), и официального фикса октябрьской дыры для них нет. Перейдите на поддерживаемую ветку (8.2 или новее) или попросите у хостинга бэкпорт-пакет. Устаревшая версия означает, что известные дыры остаются открытыми, это самое важное.