(1) Хто відповідає за оновлення PHP?

Адміністратор на рівні сервера

Зазвичай ваш інтернет-провайдер встановлює виправлення безпеки для PHP. У випадку з PHP2Shell це, найімовірніше, вже було зроблено. Зверніть увагу: провайдер — це не те саме, що програміст або вебдизайнер. Термін «адміністратор» іноді може спричиняти плутанину.

(2) Що таке вразливість PHP2Shell?

PHP є мовою програмування, яка дозволяє динамічні сторінки на веб-сервері.

PHP2Shell посилається на дві критичні вразливості в самому інтерпретаторі PHP, через які зловмисники можуть виконувати код на веб-серверах без входу в систему, іноді навіть до того, як фактичний додаток запуститься. Вони хитро використовують прогалину в функції завантаження. Навіть якщо сторінка складається лише з /Привіт світ/ і взагалі не пропонує нічого динамічного. Достатньо, щоб PHP був встановлений і активований. Це означає: Веб-сервер захоплюється, і чутливі дані клієнтів можуть бути скомпрометовані або злочини можуть бути скоєні від вашого імені.

Проблема відома вже 20 років, але вважалася занадто складною для виконання (в епоху без ШІ). Для тих, хто цікавиться деталями, ось вдала відео про це - легко зрозуміти: Дивіться відео: IT PHP2Shell: Як помилка пам'яті стає оболонкою (https://youtu.be/qXv8NAIFm9o) (німецькою з англійськими субтитрами)

(3) Сумісність проти безпеки - дилема

Те, що було запрограмовано одного разу, також потрібно підтримувати час від часу.

Навіть якщо ваші веб-сайти, наприклад, є незалежними від WordPress та подібних (так званих CMS-систем), вони не є статичними і тому вимагають PHP. Лише з /PHP/ можливо створювати сторінки динамічно (зображення та вміст відокремлені від HTML); інакше зусилля для їх створення були б у багато разів більшими, а обслуговування ще більше.

До речі, PHP - це проект з відкритим кодом (Фонд) і виник завдяки старанній роботі кількох волонтерів. PHP можна використовувати без ліцензійних зборів.
На даний момент багато PHP-скриптів все ще працюють на дещо застарілих версіях PHP (7 і старіших). Небагато волонтерів піклуються про оновлення безпеки. Однак актуальна версія PHP (8.5 - у 2026 році) не є гарантією того, що все на веб-сайті продовжуватиме працювати. Це дилема. Адже з кожним оновленням вгору є, крім патчів безпеки, і часом значні зміни в функціональності (наприклад, команди можуть перестати працювати і їх потрібно переписати). Це означає, що не все, що ми, можливо, запрограмували для вас п'ять або десять років тому, ще працює.

Тому в середньостроковій перспективі це іноді означає, що потрібно більше або менше налаштувань у програмуванні, що, на жаль, також викликає витрати, щоб ваші клієнти та гості могли отримати функціонуючий сайт. Це означає, що лише ті сторінки, які, можливо, були запрограмовані як статичні сторінки в чистому HTML 20 років тому, досі працюють сьогодні (див. вище), але вони також виглядають /як 20 років тому/ (чого ніхто не хоче). Однак динамічний веб-сайт повинен, однак, протриматися п'ять років без великих налаштувань. Після цього або налаштувати, або зовсім новий. Такі справи.

(4) Спостереження та обслуговування веб-сайту

Ваш веб-сайт - це ваша візитка в Інтернеті для всіх ваших клієнтів та гостей.

Щоб уникнути надмірних витрат* і підтримувати веб-сайт у робочому стані, важливо, щоб ви іноді (найкраще 1-2 рази на місяць) перевіряли свій власний корпоративний веб-сайт, щоб переконатися, що все ще працює так, як задумано. Якщо це не так, достатньо надіслати електронний лист із описом проблеми та зателефонувати, щоб переконатися, що електронний лист не загубиться. Потім ми разом обговоримо, яке рішення є найкращим.

(* Для німецького ринку можна оцінити в 2026 році для річних контрактів приблизно 600-900 € чистими на місяць за веб-сайт, що лише включає реальну готовність 24/7 з обов'язковими термінами реагування. Плюс відповідні проектні роботи тощо, подібно до витрат на обслуговування!) Сподіваюся, що з цими даними я зміг трохи прояснити ситуацію і внести заспокоєння. Будь ласка, зв'яжіться зі мною, якщо вам потрібна додаткова інформація.