PHP лежит в основе 70% сайтов: что это и почему уязвимость стала серьёзной угрозой взлома

Правительства и организации по всему миру начали в срочном порядке 21 октября 2026 года исправлять уязвимость в программном обеспечении, на котором работают их сайты, — ошибку, которая могла дать хакерам доступ к данным и контроль над сайтами. Flaw в PHP, языке программирования, на котором работает большая часть современного интернета, вызвал срочные предупреждения от Агентства национальной безопасности США, агентств по кибербезопасности и поставщиков программного обеспечения.

Исследователь из фирмы по безопасности Calif обнаружил уязвимость в августе 2026 года с помощью продвинутой модели искусственного интеллекта от OpenAI. Фирма уведомила некоммерческую организацию, управляющую PHP. Однако информация об уязвимости просочилась до того, как организация PHP выпустила патчи для своего программного обеспечения, и, по словам официальных лиц Amazon Web Services, хакеры начали «широко» пытаться её использовать. Уязвимость имеет последствия далеко за пределами одной компании или платформы, потому что PHP — ключевой компонент программного обеспечения, помогающий работать миллионам сайтов. Так что такое PHP, какую роль сыграл ИИ в обнаружении уязвимости и стоит ли обычному пользователю волноваться?

PHP — это язык программирования, на котором работает большинство сайтов. Чтобы современный сайт мог предоставлять динамический контент, визуальные элементы и функции поиска, программа должна работать на веб-сервере и принимать пользовательский ввод — будь то ввод веб-адреса или нажатие ссылок и кнопок. По оценкам, около 70% сайтов работают на PHP. PHP работает на веб-сервере в двух основных частях: ядро системы PHP — движок и библиотеки времени выполнения — и отдельные скрипты PHP, которые являются пользовательскими программами, фактически реализующими сайт. Когда вы взаимодействуете с сайтом, скрипты PHP выполняются, принимают пользовательский ввод и создают выходные данные, которые отображает ваш браузер.

Текущая проблема безопасности кроется непосредственно в ядре системы PHP и используемых ею библиотеках. Когда уязвимость существует на таком глубоком уровне, она может позволить злоумышленнику использовать систему. В данном случае они могут выполнять несанкционированные команды на компьютере, на котором размещён сайт, что позволяет атакующим получить доступ к данным и полный контроль над сайтом. Эта уязвимость не является ошибкой в коде отдельного сайта. Проблема заключается в ядре системы PHP, что делает уязвимой каждую неисправленную систему, работающую на PHP. Поскольку сайты доступны любому в интернете, злоумышленники могут легко находить сайты на PHP с помощью автоматизированных инструментов. Затем они могут запустить программу-эксплойт, использующую уязвимость.

Этот код эксплойта называется PHP2Shell. Название происходит от того, что эксплойт даёт атакующему «shell-доступ» — термин кибербезопасности для прямого командного контроля над компьютером, на котором работает сайт. Shell-доступ обходит интерфейс сайта, давая злоумышленникам возможность вводить команды и получать доступ ко всем данным сайта.

Что делает эту уязвимость особенно интересной, так это то, как она была обнаружена. Этот эксплойт стал известен в результате процесса, известного как скоординированное раскрытие, при котором исследователи кибербезопасности сообщают об уязвимости разработчикам PHP до её обнародования. Это открытие показывает силу ИИ в кибербезопасности. Десятилетиями поиск тонких программных ошибок требовал больших команд специалистов, вручную проверяющих код. Сегодняшние ИИ-системы могут исследовать огромные кодовые базы и выявлять необычные паттерны за часы или дни. Эти модели могут анализировать миллионы строк кода за секунды, находя тонкие ошибки управления памятью, которые человеческие аудиторы могли пропустить за десятилетия разработки. Уязвимость PHP существовала в ядре кода PHP более десяти лет, и ИИ помог исследователям её найти.

Однако это также показывает, что атакующие могут использовать те же инструменты для поиска и эксплуатации уязвимостей. Те же возможности рассуждения, которые помогают исследователям безопасности находить flaws первыми, также могут позволить атакующим быстро сканировать интернет на предмет уязвимых целей и автоматизировать создание инструментов для эксплуатации уязвимостей. Это иллюстрирует, почему так важно, чтобы команды безопасности использовали ИИ для поиска уязвимостей и сообщали о них безопасно и активно. ИИ также может помочь выпускать патчи, смягчающие эти уязвимости.

Многие государственные учреждения, университеты, больницы и предприятия полагаются на системы на PHP. Хотя отдельные интернет-пользователи вряд ли пострадают напрямую, организации, которые откладывают патчинг, могут подвергнуть риску конфиденциальные данные, рискнуть нарушением своей деятельности или дать атакующим foothold в более крупных сетях. PHP работает полностью на удалённых веб-серверах. Если вы обычный интернет-пользователь, посещающий сайты, вам не нужно скачивать патч или исправлять свой персональный компьютер.

Однако если вы управляете сайтом, блогом или сервером, даже небольшим сайтом на популярных системах управления контентом, таких как WordPress, вам следует немедленно проверить панель администрирования сервера или хостинг, чтобы убедиться, что ваше программное обеспечение PHP обновлено до последней исправленной версии. Если ваш сайт размещён третьей стороной, свяжитесь с ними и узнайте, применили ли они патчи для этих уязвимостей.

Открытие PHP2Shell иллюстрирует новую реальность для кибербезопасности. В нашем взаимосвязанном мире поддержание безопасности веб-инфраструктуры — это непрерывная гонка. Поскольку ИИ-инструменты становятся стандартом как для киберзащитников, так и для онлайн-противников, поддержание быстрых привычек патчинга остаётся нашей самой важной защитой.

Итог: PHP2Shell — это не просто баг. Это напоминание: интернет держится на коде, который десятилетиями не проверялся так тщательно, как следовало. ИИ нашёл уязвимость, но он же может помочь атакующим. Для обычных пользователей паниковать не стоит — PHP работает не на вашем компьютере. Но если у вас есть сайт, даже маленький блог на WordPress, проверьте его. Патчинг — это скучно, но это единственная защита. И в эпоху ИИ эта гонка только ускоряется.