Уязвимости PHP2Shell: почему интернет-магазинам могут понадобиться месяцы на обновление
Исследователи обнаружили две критические уязвимости PHP2Shell в PHP — языке программирования, который используется примерно на 90% сайтов в России. По данным OpenAI, одна из ошибок оставалась незамеченной около 14 лет, но современные ИИ-модели и агенты помогли найти ее за несколько недель.
Главная проблема для интернет-магазинов заключается не только в обнаружении уязвимостей, но и в скорости их устранения. Если сайт работает на устаревшей версии PHP, установка исправления может оказаться невозможной без серьезной переработки программного обеспечения.
Кто столкнется с наибольшими сложностями
Для небольших и средних магазинов основной риск связан с использованием старых версий PHP и отсутствием отлаженного процесса обновлений. По отдельным оценкам, примерно половина сайтов на PHP работает на версиях, официальная поддержка которых уже прекращена. В таких случаях переход на безопасную конфигурацию может занять месяцы, а не несколько часов.
У крупных магазинов и маркетплейсов ситуация осложняется большим количеством сервисов, интеграций и подрядчиков. Чтобы оценить масштаб угрозы, компаниям необходимо проверить не только основной сайт, но и все связанные компоненты: платежные системы, службы доставки, учет товаров, внешние площадки и внутренние API.
Уязвимости находятся непосредственно в PHP, а не в отдельных приложениях. Поэтому потенциально под угрозой могут оказаться проекты на разных платформах, включая WordPress и «1С-Битрикс». Официальные исправления выпущены для PHP 8.2–8.5. При этом «1С-Битрикс» с февраля 2026 года требует PHP 8.2. Наиболее уязвимыми остаются сайты с истекшей лицензией на обновления, которые продолжают работать на PHP 7.0 или версиях 8.0–8.1.
Сроки зависят от состояния инфраструктуры
По оценке основателя и генерального директора Nodul Александра Данилова, устранение подобных проблем может занимать от нескольких часов до нескольких месяцев. Компании с автоматизированным управлением инфраструктурой способны установить исправления за часы. При ручном обновлении систем понадобятся дни, а владельцам устаревших решений может потребоваться полноценная модернизация.
Похожая проблема связана с критической уязвимостью Node2Shell в Node.js. Она затрагивает обработку сжатых данных и может представлять угрозу не только для публичных сайтов, но и для корпоративных интеграций и сервисов, которые обращаются к внешним API. Для электронной коммерции это особенно важно из-за большого числа подключенных систем.
ИИ заметно ускорил поиск уязвимостей, однако скорость их устранения пока остается прежней. Исследователи могут обнаружить ошибку за несколько недель, а злоумышленники — начать массовые атаки уже через несколько часов после раскрытия информации. Если инфраструктура магазина построена на неподдерживаемых версиях ПО, на обновление могут уйти дни или месяцы.
Чтобы снизить риски, интернет-магазинам необходимо вести учет версий программного обеспечения и зависимостей, автоматизировать установку обновлений и заранее планировать замену устаревших систем. По мере распространения ИИ-инструментов для поиска уязвимостей именно способность быстро выявлять проблемные компоненты и устанавливать исправления становится одним из ключевых факторов кибербезопасности электронной коммерции.
