Критические уязвимости в PHP вызвали глобальные угрозы и отключения сайтов
Две критические уязвимости в ядре PHP с рейтингом 9,2 по CVSS вызвали экстренные предупреждения спецслужб, масштабные правительственные отключения и глобальное обновление систем.
Две критические уязвимости в ядре языка программирования PHP, зарегистрированные как CVE-2026-109618 и CVE-2026-109619, были обнаружены исследователями. Ошибки позволяют злоумышленникам удаленно выполнять произвольный код и захватывать серверы без необходимости ввода имени пользователя, пароля или наличия административных привилегий. Уязвимости получили максимальный рейтинг опасности 9,2 по шкале CVSS. Язык PHP, созданный в начале 1990-х годов (изначально расшифровывавшийся как Personal Home Page), представляет собой проект с открытым исходным кодом, поддерживаемый волонтерами. Согласно данным W3Techs, на нем работает от 69,3% до 75% веб-сайтов с известным серверным языком, что делает его ключевой инфраструктурой для таких систем управления контентом и платформ электронной коммерции, как WordPress, Drupal, Joomla и Magento. Временный генеральный директор организации Drupal Тиффани Парис отметила, что все серверы, использующие любую версию PHP, выпущенную за последние двадцать лет, уязвимы, что затрагивает большую часть глобальной сети.
Глобальная реакция и экстренные предупреждения
21 октября 2026 года были выпущены официальные исправления безопасности, и фонд PHP обратился к технологическим департаментам по всему миру с призывом немедленно обновить системы. Разведывательные, оборонные и кибернетические агентства опубликовали срочные предупреждения для организаций. В официальном аккаунте кибернетического подразделения АНБ в сети X было отмечено, что все организации, использующие PHP, должны подготовиться к немедленному обновлению. Уязвимости обеспечивают прямой путь к файловой системе или базе данных, поэтому в случае невозможности незамедлительного обновления рекомендуется временно отключить систему от сети. Аналогичные рекомендации по отключению серверов выпустил Национальный центр кибербезопасности Великобритании (NCSC). Белый дом подтвердил, что был проинформирован о ситуации накануне публикации.
Премьер-министр Японии Санаэ Такаити опубликовала в сети X призыв проверить активные сайты на предмет использования PHP и подготовиться к установке патча, а премьер-министр Нидерландов заявил, что внимательно следит за развитием событий. В кибернетическом подразделении ФБР призвали организации принять срочные меры, предупредив, что обе уязвимости могут позволить злоумышленникам удаленно запустить код в ядре PHP и нанести ущерб сетям и конфиденциальным данным. ФБР рекомендовало немедленно провести инвентаризацию систем, установить обновления и отслеживать подозрительную активность на веб-серверах, такую как запуск командных оболочек или загрузку файлов. В случае обнаружения взлома ведомство потребовало изолировать системы, сохранить журналы и направить отчеты в ФБР или через портал ic3.gov, сославшись также на рекомендации CERT-EU 2026-018 и каталог эксплуатируемых уязвимостей CISA.
Роль искусственного интеллекта в обнаружении багов
Обнаруженные ошибки находились в коде языка на протяжении десятилетия или более. Они связаны с тем, как PHP обрабатывает аварийные ситуации с памятью (Out of Memory), оставляя поврежденные данные или указатели на уже освобожденную память (Use-After-Free), которые могут быть задействованы в последующих запросах. Проблемы были выявлены 1 августа группой исследователей Calif с использованием языковой модели в рамках аудита кода, финансируемого компанией OpenAI. Параллельно израильская компания Wiz независимо обнаружила те же уязвимости с помощью исследовательского инструмента Wiz Atlas и моделей Gemini 4 Argon и GPT-5.6 Sol. Специалисты Wiz пояснили, что ранее эксплуатация подобных багов требовала чрезвычайно сложной цепочки действий, находившейся на грани человеческих возможностей, однако внедрение искусственного интеллекта полностью устранило этот барьер.
В компании OpenAI сообщили в сети X, что возглавили коалицию по подготовке исправлений для этих критических дефектов. Специалисты назвали данную уязвимость одной из самых значительных за последнее время и важной вехой для эпохи искусственного интеллекта, способного находить масштабные программные ошибки раньше злоумышленников. Технический директор Cloudflare сообщил о первых признаках атак, а директор по безопасности Amazon Си Джй Мозес рассказал о попытках эксплуатации против корпоративных «ловушек» (honeypots), зафиксированных еще 17 октября, подтвердив, что уязвимости активно используются в реальных условиях.
Масштабные отключения систем и долгосрочные риски
Высокий уровень угрозы привел к превентивным отключениям сервисов по всему миру. В Нидерландах Национальный центр кибербезопасности отключил собственный сайт, после чего последовали портал Overheid.nl, порт Роттердама, ресурсы пяти ведущих партий и больницы. В Финляндии государственные сетевые службы были остановлены поставщиком Valtori. Во Франции все сайты министерства внутренних дел были переведены на профилактическое обслуживание (включая сайт парижской полиции), а в Дании приостановили работу муниципальные службы, включая школьную платформу.
Википедия отключила часть своих систем до завершения обновлений, аналогичные меры приняли «Архив интернета», 4chan, DeviantArt и игровые приложения, включая Pokémon Home. Согласно данным компании Censys, около 1,5 миллиона из 2,6 миллиона хостов, использующих PHP, работают на устаревших версиях, которые больше не поддерживаются и не имеют официальных патчей (версии 8.1 и ниже). Служба VirusTotal фиксирует около 3,8 миллиона открытых сайтов, функционирующих на базе этого языка. Платформа WordPress в лице компании Automattic сообщила, что ее серверы и пользователи Tumblr защищены. Такие сервисы, как израильская компания Wix и Squarespace, не поддерживают PHP, поэтому не подвержены угрозе. Тем не менее, риски остаются крайне высокими для небольших сайтов и провайдеров общего хостинга, где владельцы не управляют инфраструктурой напрямую.
