Defaults.Exposed › Звіти

Половина PHP-вебу працює на PHP, що вийшов з підтримки (2026)

Опубліковано 2026-06-29

Дані станом на 2026-06-29 · методологія v7. Агреговані дані перепису з виявлених заголовків відповіді X-Powered-By серед 261 мільйонів оцінених доменів. Частка EOL вимірюється серед найпоширеніших розкритих версій PHP; «кінець життєвого циклу» означає випуск, який більше не отримує виправлень безпеки (PHP ≤ 8.1 станом на 2026). Дивіться як ми оцінюємо.

Величезна частка вебу працює на PHP, який припинив отримувати виправлення безпеки роки тому — і радо повідомляє вам про це. Із 12 мільйонів сайтів, які розкривають свою версію PHP у заголовках відповіді, 50.8% працюють на випуску, що завершив життєвий цикл. Найпоширеніша окрема версія PHP в усьому вебі — це 7.4.33 — збірка, яка досягла кінця життєвого циклу у 2022 році — що працює на 1,889,273 сайтах. Вони не просто застарілі; вони не отримують жодних виправлень безпеки й оголошують свою версію кожному сканеру, який запитає.

Що тут означає «кінець життєвого циклу»

Випуски PHP отримують приблизно два роки активної підтримки та ще один рік лише виправлень безпеки. Після цього — кінець життєвого циклу — більше жодних виправлень безпеки, навіть для критичних вразливостей. Станом на 2026-06-29 усе аж до PHP 8.1 включно перебуває в кінці життєвого циклу. Сайт на версії EOL, який підхоплює нову відому вразливість, просто залишається вразливим.

Найпоширеніші версії, які сайти рекламують через X-Powered-By:

Найпоширеніша збірка PHP, 7.4.33, перебуває в кінці життєвого циклу — попереду кожного ще підтримуваного випуску.

Дві проблеми, накладені одна на одну

Це складена експозиція:

1. Програмне забезпечення не виправлене. 50.8% PHP-сайтів, що розкривають версію, не можуть отримати виправлення безпеки для нещодавно виявленої вади. Вони покладаються на те, що нічого не знайдуть — а це не є стратегією безпеки.
2. Вони транслюють це. Розкриття точної версії перетворює сканування на список покупок: зловмисник фільтрує інтернет за 7.4.33, зіставляє з відомими вразливостями й має список цілей ще до того, як надіслати хоча б один експлойт. (Дивіться що видають заголовки вашого сервера.)

Жодну з проблем недорого виправити — але вони невидимі для власника, який бачить робочий сайт і жодного попередження.

Як позбутися PHP, що завершив життєвий цикл

1. Перевірте свою версію. Якщо це 8.1 або старіша, вона перебуває в кінці життєвого циклу станом на 2026-06-29.
2. Оновіться до підтримуваного випуску (8.2+). Більшість хостингів пропонують перемикання версії PHP в один клік.
3. Припиніть її рекламувати. Видаліть або зробіть загальним X-Powered-By, щоб не віддавати свою версію зловмисникам.
4. Перевірте повторно для підтвердження.

Поширені запитання

Яка найпоширеніша версія PHP у вебі? 7.4.33 — і вона перебуває в кінці життєвого циклу. Вона працює на 1,889,273 сайтах, більше за будь-який ще підтримуваний випуск, станом на 2026-06-29.

Скільки вебсайтів працюють на непідтримуваній версії PHP? Серед 12 мільйонів сайтів, що розкривають версію, 50.8% працюють на випуску, що завершив життєвий цикл (PHP ≤ 8.1). Справжнє число, ймовірно, вище, оскільки багато сайтів EOL приховують свою версію.

Чи справді небезпечно використовувати PHP, що завершив життєвий цикл? Так. Версії EOL не отримують виправлень безпеки, тож будь-яка нещодавно виявлена вразливість залишається придатною для експлуатації необмежено довго. У поєднанні з розкриттям версії це робить сайт легкою, попередньо відібраною ціллю.

Як дізнатися, яку версію PHP я використовую? Панель керування вашого хостингу показує її, а багато сайтів видають її в заголовку X-Powered-By. Оновлення до підтримуваної версії (8.2+) зазвичай є зміною в один клік.

Перевірте, що розкриває ваш сайт

Подивіться, чи рекламує ваш сайт свій технологічний стек — і решту вашого стану безпеки — безкоштовно й приватно.

Перевірте свій домен → · Що видають заголовки вашого сервера → · Табель заголовків безпеки HTTP → · Лише агреговані дані. Дані зберігаються та обробляються в ЄС.