Версия PHP на хостинге: как узнать и сменить

Коротко. 21 октября 2026 года PHP выпустил версии 8.5.12, 8.4.27, 8.3.36 и 8.2.35 с исправлением двух критических уязвимостей. Узнайте, какая версия PHP у вашего сайта: на версиях 8.1 и старше исправлений от разработчиков PHP нет. Выберите в панели хостинга 8.3 или новее, если её поддерживает ваша CMS, и спросите поддержку, обновлены ли сборки.

Что случилось 21 октября

Разработчики PHP опубликовали на php.net срочное предупреждение: две критические уязвимости позволяют выполнить свой код на сервере без входа на сайт.

• Это CVE-2026-109618 и CVE-2026-109619. В СМИ их вместе называют PHP2Shell.
• Под угрозой все установки PHP, которые обрабатывают запросы сайтов, в том числе PHP-FPM, Apache с mod_php, php-cgi, FrankenPHP и LiteSpeed.
• Сильнее всего рискует Apache с mod_php: для него показали атаку, которая срабатывает до запуска кода самого сайта.
• Исправления вышли в версиях 8.5.12, 8.4.27, 8.3.36 и 8.2.35. Разработчики просят всех обновиться немедленно.
• PHP 8.1 и старше обновлений от разработчиков PHP больше не получают. Для 7.4, 8.0 и 8.1 команда безопасности выложила минимальные исправления в исходном коде, но готовых сборок нет.

На обычном хостинге сборки PHP ставит и обновляет сам хостинг. От вас зависит, какую ветку PHP использует сайт. Обновление WordPress, Битрикса или другой CMS уязвимость не закрывает: она в самом PHP.

Что было после 21 октября

22 октября — письмо НКЦКИ. Национальный координационный центр по компьютерным инцидентам при ФСБ разослал через ГосСОПКА требование срочно обновить PHP. Об этом сообщил РБК, подлинность письма подтвердили три получателя. Если быстро обновиться нельзя, предписано рассмотреть ограничение внешнего доступа к серверам вплоть до отключения. После обновления — проверить серверы антивирусом и журналы на следы взлома. Письмо адресовано владельцам критической информационной инфраструктуры: госорганам, банкам, операторам связи, энергетике, транспорту, медицине. Владельцам обычных сайтов оно напрямую не адресовано, но совет тот же: обновиться.

23 октября — дополнительный совет php.net. Разработчики PHP предложили до следующего планового выпуска выключить настройку session.upload_progress.enabled, то есть поставить 0. Опасность есть только при редком сочетании настроек и кода сайта, но так надёжнее. На обычном хостинге спросите поддержку, на своём VPS поменяйте настройку в php.ini.

Для своих серверов на Debian и Ubuntu Ондржей Суры, который ведёт популярные сборки PHP для этих систем, 21 октября выпустил обновления для 12 веток PHP, в том числе для старых 5.6, 7.x, 8.0 и 8.1. Это не заменяет переход на поддерживаемую версию, но закрывает дыру, пока вы к нему готовитесь.

Что сделали хостинги

Beget 22 октября разослал клиентам письмо: сразу после новости он временно ограничил обработку загрузок файлов и работу отдельных механизмов PHP, затем установил обновления безопасности на виртуальном хостинге и выделенных серверах под своим администрированием. Ограничения сняты, от клиентов никаких действий не требуется.

Если у вас свой VPS или выделенный сервер без администрирования, обновлять PHP придётся самим. Команда WordPress в своём сообщении приводит совет британского Национального центра кибербезопасности: если сразу обновить нельзя, стоит отключить сервер от сети, пока уязвимость не закрыта.

Чему не верить. В Telegram-каналах пишут, что «по всей планете отключают сайты на PHP». Это преувеличение: совет отключать касается только серверов, которые нельзя обновить сразу. Кто нашёл уязвимости и как давно они существовали, в сообщении php.net не сказано.

Какие версии PHP поддерживаются

Каждая ветка PHP два года получает все исправления и ещё два года только исправления безопасности. Потом поддержка заканчивается.

Версия	Исправления безопасности до
8.1 и старше	уже не выходят
8.2	31 декабря 2026
8.3	31 декабря 2027
8.4	31 декабря 2028
8.5	31 декабря 2029

Через два месяца закончится поддержка PHP 8.2. Если сайт работает на ней, переходите на 8.3 или новее уже сейчас, пока есть время проверить совместимость.

Как узнать версию PHP своего сайта

В панели хостинга. Версия видна там же, где её меняют (инструкции ниже).

Через файл phpinfo. Этот способ работает у любого хостинга:

1. Создайте в корне сайта файл с любым неочевидным именем, например info-7f3a.php, и запишите в него одну строку: <?php phpinfo();
2. Откройте его в браузере: https://ваш-сайт.ru/info-7f3a.php. В самом верху страницы будет версия PHP, например «PHP Version 8.3.36».
3. Сразу удалите файл. Он показывает настройки сервера, их не стоит оставлять в открытом доступе.

В админке CMS. WordPress показывает версию PHP в разделе «Инструменты» → «Здоровье сайта» → «Информация» → «Сервер».

Как сменить версию PHP

Перед сменой:

• проверьте, какие версии PHP поддерживает ваша CMS и плагины;
• сделайте резервную копию сайта и базы данных.

Timeweb

1. Откройте раздел «Сайты».
2. Наведите курсор на нужный сайт и нажмите значок шестерёнки.
3. В блоке «Настройки версии и кодировки» нажмите «Настроить».
4. Выберите версию и сохраните.

Новая версия применяется сразу. Список версий зависит от сервера: по справке Timeweb, на серверах с Ubuntu 18.04 доступны версии 5.3–8.3, с Ubuntu 22.04 — 7.4–8.5. Если нужной версии нет, Timeweb предлагает написать в поддержку: аккаунт перенесут на подходящий сервер.

Beget

1. Откройте раздел «Сайты» в панели управления.
2. Напротив нужного сайта нажмите кнопку «PHP».
3. Выберите версию и нажмите «Применить».

Какие версии есть на вашем сервере, видно в разделе «Статистика» → «Информация о сервере».

Рег.ру

Хостинг Рег.ру работает на панели ispmanager. Пошаговая инструкция — в справке Рег.ру «Как сменить версию PHP на хостинге» (ссылка в источниках). Узнать текущую версию проще всего через phpinfo.

Если сайт сломался после смены версии

Белый экран или сообщение об ошибке после смены значит, что CMS или плагин не работают с новой версией.

1. Верните прежнюю версию в той же настройке панели. Сайт должен заработать сразу.
2. Обновите CMS, тему и плагины до последних версий.
3. Попробуйте сменить версию снова. Если опять ошибка, посмотрите журнал ошибок в панели хостинга: там будет название файла или плагина, который не работает.

Наш опыт

Наш сайт hostatlas.ru не использует PHP вовсе: это готовые HTML-файлы, сервер просто отдаёт их посетителям. Уязвимости PHP такой сайт не затрагивают. Если вы только начинаете и вам не нужна CMS, это один из самых безопасных вариантов: как мы запустили сайт.

Читайте также

• Хостинг для WordPress
• Хостинг взломали: что делать
• Как выбрать хостинг

Источники

• php.net: предупреждение о критических уязвимостях и версии с исправлениями, 21 октября 2026, и совет про session.upload_progress, 23 октября 2026; проверено 25.10.2026
• Хабр: НКЦКИ при ФСБ потребовал срочно обновить PHP и Anti-Malware: НКЦКИ потребовал срочно обновить PHP — письмо от 22.10.2026, CVE, сборки Ондржея Суры
• php.net: поддерживаемые версии PHP; проверено 22.10.2026
• Timeweb: изменение версии PHP
• Beget: PHP на виртуальном хостинге
• WordPress: Critical PHP Security Release: совет NCSC отключать необновлённые серверы
• Письмо Beget клиентам «Уязвимости PHP устранены — обновления установлены», 22.10.2026
• Рег.ру: как сменить версию PHP на хостинге