PHP под ударом: как уязвимость в языке, на котором работает 70% интернета, вызвала панику
Более десяти лет серьёзные flaws оставались незамеченными в технологии, лежащей в основе большей части интернета. Понадобился ИИ, чтобы вывести их на свет, и это вызвало глобальную кибертревогу. Исследователи, помогавшие выявить уязвимости в PHP — популярном серверном языке программирования, используемом в веб-разработке десятилетиями, — предупредили, что платформы, использующие его, могут быть подвержены потенциальным взломам. Правительства и агентства по кибербезопасности поспешили сдержать последствия, призывая владельцев сайтов проверить, затронуты ли их сайты, и, если да, установить обновления или рассмотреть возможность отключения.
Сообщений об успешных эксплойтах уязвимости, получившей название php2shell, пока не поступало. Но в дни после обнародования проблем сбои в работе сайтов и сервисов продолжают распространяться по всему миру.
Что такое PHP?
Большинство людей, возможно, не слышали о PHP, но они, вероятно, взаимодействуют с ним ежедневно. Это аббревиатура от PHP: Hypertext Preprocessor — открытый серверный язык программирования, который работает на веб-сервере. Разработанный в начале 1990-х для обслуживания динамических веб-страниц и приложений, PHP до сих пор питает множество платформ, включая Wikipedia, интернет-магазины и WordPress — систему, стоящую за многими сайтами. Когда вы посещаете сайт, PHP — это код, который собирает данные и фактически превращает их в страницу, которую вы можете читать.
Он также использовался для написания ряда инструментов для создания или ускорения создания веб-приложений, среди популярных PHP-фреймворков — Laravel, Symfony и Drupal. По данным фирмы по кибербезопасности Wiz, которая помогла обнаружить критические уязвимости PHP на этой неделе, PHP питает 70% мировых сайтов. Поддерживается некоммерческой организацией PHP Foundation, состоящей из отдельных лиц и компаний, которые зависят от языка и стремятся обеспечить его «долгосрочное процветание».
В чём уязвимость?
Группа исследователей и организаций по кибербезопасности на этой неделе раскрыла две уязвимости в PHP, которые, по их предупреждению, могут перевернуть сайты по всему интернету. Фирмы Wiz и Calif заявили, что flaws присущи самому языку, затрагивая версии PHP, выпущенные за последнее десятилетие. Технические ошибки, получившие идентификаторы CVE-2026-109618 и CVE-2026-109619, были оценены исследователями на 9,2 из 10 по серьёзности. Исследователь Calif Райан Остин, помогавший обнаружить их, сказал BBC, что это «самая серьёзная уязвимость, которую я когда-либо находил».
Wiz в блоге о своих находках написала, что при определённых условиях хакеры могут использовать ошибки, чтобы взять под контроль затронутые веб-серверы и украсть конфиденциальные данные — всё, что построено на PHP, осталось незащищённым. ИИ также может сделать такие атаки проще и быстрее, сказал BBC Пол Спейн, генеральный директор Gorilla Cyber Security. Он оценил, что уязвимость может затронуть «миллионы и миллионы» сайтов. Джилл Слэй, исследователь кибербезопасности из Университета Аделаиды, сказала, что было бы «катастрофически», если бы хакеры или страны использовали уязвимость и захватили частные данные с сайтов.
Какие сайты пострадали?
Оповещение 21 октября нарушило работу сервисов по всему миру — от игровых платформ до правительственных порталов и онлайн-форумов. Среди них Wikimedia — организация, стоящая за онлайн-энциклопедией Wikipedia, — которая отключила ряд своих систем в качестве меры предосторожности. Сайты и страницы также были отключены правительством Финляндии, советом Эдинбурга и некоторыми страницами BBC, а кибербезопасное агентство Нидерландов также сняло свой сайт в среду.
Но хотя многие сайты вернулись в строй к четвергу, другие всё ещё временно отключались в других местах, пока люди и компании проверяют потенциальную уязвимость. Правительство Великобритании в четверг сообщило, что некоторые «ограниченные» сервисы могут быть временно отключены. Было отключено 32 сайта в качестве меры предосторожности, ни один из них не является крупным публичным сервисом. Во Франции телекоммуникационная компания Orange также заявила, что приостановила доступ к определённым сервисам по всему миру, пока развёртывает исправления безопасности. В пятницу местные СМИ в Японии сообщили, что телекоммуникационный оператор SoftBank Corp временно приостановил экстренные оповещения о землетрясениях, цунами и других бедствиях.
Некоторые эксперты предупреждают, что проблема может подвергнуть плохо обслуживаемые сайты, особенно принадлежащие небольшим организациям с ограниченными ресурсами безопасности, большему риску. Более вероятны новые попытки использовать эти flaws в ближайшие недели, поскольку технические детали теперь обнародуются, сказал исследователь кибербезопасности Салил Канхере из UNSW Sydney.
Что произошло после обнародования?
PHP Foundation выпустила патчи в среду, чтобы исправить уязвимости, скрывавшиеся в их программном обеспечении годами. «Все пользователи PHP настоятельно призываются обновиться немедленно», — заявила компания. Власти и организации по безопасности по всему миру повторили эти предупреждения операторам сайтов. Агентство национальной безопасности США (NSA) заявило всем организациям, использующим PHP, отключить свои системы, если они не могут немедленно установить патчи, добавив, что уязвимость может обеспечить «прямой путь» к эксплуатации базы данных системы. «Эти риски достаточно серьёзны, чтобы требовать немедленного патчинга во всех департаментах и агентствах правительства США», — заявило агентство.
Его коллеги в ЕС, Сингапуре и Австралии также выпустили аналогичные оповещения. Премьер-министр Японии Санаэ Такаити призвала людей проверить, работают ли их публичные сайты на PHP, в постах в X. Технологические компании также стремились быстро обезопасить свои системы. Гигант электронной коммерции Amazon заявил, что подвергся múltiples попыткам атак за несколько дней до публичного раскрытия проблемы с PHP, но его сайты работали нормально. Мэтью Принс, глава инфраструктурной интернет-компании Cloudflare, также сказал, что видел «тысячи» попыток использовать уязвимости PHP в своей сети за 10 часов до публичного объявления. «Это подскочило до десятков тысяч за 45 минут после объявления, сотен тысяч в течение двух часов и миллионов сейчас», — написал он в X.
По состоянию на утро пятницы ни об одной успешной атаке не сообщалось. Но эксперты предупредили, что любой ущерб может потребовать времени, чтобы стать полностью очевидным. И операторов ряда сервисов, где мог использоваться PHP — не только в веб-разработке, — всё ещё призывают проверить свои системы и внедрить обновления. «Важно помнить, что PHP не ограничивается веб-приложениями, — сказал Дэниел Стюарт, руководитель отдела киберразведки глобального риск-менеджера LRQA. — Он часто встречается в интерфейсах управления сетевых устройств, балансировщиков нагрузки и встраиваемых устройств, которые часто упускаются из виду во время таких инцидентов».
Как был замешан ИИ?
Исследователи Calif и Wiz, обнаружившие уязвимости, использовали продвинутые инструменты ИИ, разработанные OpenAI, которые могут анализировать код и находить flaws гораздо быстрее людей или старых систем. «Современное программное обеспечение невероятно сложно, и некоторые уязвимости могут оставаться незамеченными годами, — сказал Канхере. — Основные ошибки не были новыми; изменилась наша способность их находить». Детали открытия просочились в сеть на этой неделе, вынудив разработчиков PHP поспешно выпустить объявление об уязвимости и её огромном масштабе. Инцидент «подчёркивает, как ИИ может обнаруживать flaws безопасности», но также и то, как он может «помочь атакующим быстро разрабатывать наступательные инструменты и эксплойты», — заявила OpenAI в блоге.
Что это значит для вас?
Проблема затрагивает бэкенд сайтов и процессы веб-разработки, которые будут невидимы для многих пользователей — это значит, что большинству людей не нужно предпринимать никаких действий. Но малые предприятия с сайтами, включая созданные на WordPress, могут задаваться вопросом, как защитить себя. Тем, кто владеет сайтами или управляет инфраструктурой на PHP, рекомендуется обновить свои сайты до последней версии.
Этичный хакер Кен Манро, который годами искал flaws безопасности в компьютерных системах, говорит, что установка исправлений — «это как запустить обновление Windows». Если хостинговая компания или веб-разработчик управляет вашим сайтом, свяжитесь с ними и спросите, применены ли исправления безопасности PHP — то, что должно быть применено к самому PHP и не может быть решено обновлением WordPress или его плагинов. Если вы сами следите за своим сайтом, Манро говорит: «это ваша собственная ответственность — убедиться, что исправления применены».
Национальный центр кибербезопасности Великобритании рекомендует рассмотреть возможность временного отключения сайтов, если обновления или временные меры защиты не могут быть применены достаточно быстро. NSA также призвало к «повышенной бдительности» в ближайшие недели. И хотя ответственность лежит в основном на операторах сайтов, пользователям следует оставаться внимательными к любым советам по безопасности от затронутых сервисов, например, к просьбам сменить пароли, сказал Канхере. Он предупредил людей быть внимательными к фишинговым сообщениям, использующим шумиху вокруг инцидента.
Ключевые факты
- Уязвимости: CVE-2026-109618 и CVE-2026-109619, оценка серьёзности 9,2/10
- Затронуто: 70% мировых сайтов (по данным Wiz)
- Обнаружено: с помощью ИИ-инструментов OpenAI
- Название: php2shell
- Патчи: выпущены PHP Foundation в среду
- Пострадавшие: Wikimedia, правительства Финляндии, Великобритании, Нидерландов, Orange, SoftBank
- Атаки: миллионы попыток эксплуатации, успешных пока нет
- Рекомендация: обновить PHP немедленно или временно отключить сайт
Что делать владельцам сайтов
| Ситуация | Действие |
|---|---|
| Вы управляете сайтом сами | Обновите PHP до последней версии немедленно |
| Хостинг или разработчик управляет сайтом | Свяжитесь с ними и спросите, применены ли патчи PHP |
| Не можете обновить быстро | Рассмотрите временное отключение сайта |
| Используете WordPress | Обновление WordPress или плагинов не исправит PHP — нужен патч PHP |
| Вы обычный пользователь | Следите за советами по безопасности от сервисов, остерегайтесь фишинга |
Итог: PHP — это невидимый фундамент большей части интернета. Уязвимости, скрывавшиеся десятилетие, были обнаружены ИИ и вызвали глобальную тревогу. Патчи вышли, но атаки продолжаются. Для обычных пользователей риск невелик, но владельцам сайтов нужно действовать немедленно. И главный урок: ИИ может находить flaws быстрее людей — но также может помочь атакующим. Безопасность — это гонка, и в ней нельзя позволить себе отставать.
ДРУГИЕ СТАТЬИ
21.10.2026
CMA против Apple: британский регулятор требует открыть «яблочные» платежи для конкурентов
Британские пользователи смартфонов могут получить выгоду от новых платёжных, билетных и туристических приложений, если Apple расширит доступ к своей технологии бесконтактных платежей, заявил антимонопольный регулятор. Управление по конкуренции и рынкам (CMA) также хочет, чтобы комиссии, которые Apple взимает с фирм за использование её бесконтактной технологии, были «существенно ниже». Регулятор считает, что текущие комиссии и сборы iPhone-производителя «блоки
19.10.2026
Китай на перепутье: ИИ и экспорт тянут экономику вверх, но внутренний спрос буксует
Экономический рост Китая ускорился в три месяца до конца сентября, восстановившись после трёхлетнего минимума, поскольку бум искусственного интеллекта (ИИ) помог подстегнуть экспорт. Вторая по величине экономика мира выросла на 4,5% в третьем квартале — больше, чем в предыдущем периоде, но ниже 5%, зафиксированных с января по март, согласно официальным данным Китая.
Последняя цифра находится на нижней границе годового целевого показателя роста Пекина в 4,5–5%,
15.10.2026
ИИ в поиске работы: как «распыляй и молись» превращает отбор в лотерею
Стали бы вы использовать ИИ, чтобы помочь написать резюме или сопроводительное письмо? А во время онлайн-оценки или видеоинтервью для работы? Мы всё чаще используем технологию, чтобы помочь с заявками, говорят выпускники и рекрутеры, и многие работодатели не против — в разумных пределах. Но когда это переходит черту от приемлемого к неэтичному или даже мошенничеству?
Том, 22 года, из Мейдстоуна, выпустился в прошлом году со степенью по географии. Он говорит, что отправил бо
13.10.2026
Anthropic запрещает «жестокость» к ИИ: забота о моделях или опасная антропоморфизация?
Anthropic вызвала удивление, объявив, что запретит пользователям «устойчивое и ненужное» оскорбительное поведение по отношению к своему ИИ. Создатель Claude заявил в четверг, что обновляет политику использования, чтобы позволить своим инструментам завершать взаимодействия, когда люди «жестоки» — что, по словам компании, она делала в «редких» случаях и раньше.
Теперь это будет включено в список запрещённого поведения, который также содержит издевательства над др
ПИШИТЕ
Техническая поддержка проекта ВсеТут