В языке программирования PHP нашли две уязвимости, они поставили под угрозу около 70% всех сайтов в интернете: что известно

21 октября разработчики экстренно выпустили патчи для двух критических уязвимостей в ядре PHP.

По оценке аналитического сервиса W3Techs, на PHP работает около 70% сайтов, у которых известен язык серверной части, а обнаруженные дыры позволяют без авторизации выполнять произвольный код на сервере.

Специалисты безопасности и власти ряда стран отреагировали на сообщения об уязвимостях еще до выхода исправлений.

Расскажу подробнее.

Исследователи нашли в ядре PHP две критические уязвимости, получившие общее имя PHP2Shell и идентификаторы CVE-2026-109618 и CVE-2026-109619. Ошибкам дали рейтинг опасности 9,2 из 10 по шкале CVSS  .

Как пишет The Hacker News, дыры в ядре позволяют неаутентифицированное удаленное выполнение кода, то есть злоумышленник без аккаунта может запустить свой код прямо на веб-сервере.

Главная опасность в том, что ошибки находятся в самом движке PHP, а не в коде конкретного сайта, поэтому под угрозой взлома оказались даже сайты с идеально написанным кодом.

Кроме выполнения кода, баги позволяют читать память рабочего процесса PHP и извлекать оттуда чужие пароли, токены, API-ключи и сертификаты. Проблема затрагивает практически все версии PHP более чем за 10 лет — вплоть до PHP 5.4.

В обнаружении и исследовании уязвимостей участвовали команды Wiz Research, Calif и подразделение OpenAI. Для этого первая использовала собственный инструмент Wiz Atlas, а также Gemini 4 Argon и GPT-5.6 Sol — нейросети помогли превратить давние баги в функционирующие эксплойты. Один исследователь за неделю проделал работу, на которую у команды мирового уровня ушли бы месяцы, пишет Wiz.

Дыры нашли еще в августе. Разработчики PHP готовили релиз исправлений, но эта информация утекла. 20 октября неизвестные опубликовали на специализированном форуме пост с идентификаторами обеих уязвимостей и заявили, что раскроют их 22 октября. В итоге образовалось опасное окно, когда о существовании уязвимостей уже знали, а исправления еще не было.

Разработчики PHP выпустили патчи для PHP8.5.12, 8.4.27, 8.3.36 и 8.2.35 на день раньше, 21 октября.

PHP 8.1 и более старые ветки сам проект больше не поддерживает, так что владельцам сайтов нужно вручную обновлять PHP и перезапускать серверные процессы.

PHP лежит в основе популярных движков для разработки сайтов вроде WordPress, Drupal, Joomla, Magento, панелей управления и массы виртуальных хостингов, поэтому уязвимы практически все установки, обслуживающие веб-запросы.

Масштаб проблемы подчеркнула исполняющая обязанности гендиректора Drupal Association Тиффани Фарисс, заявив, что «уязвимы все серверы на любой версии PHP, выпущенной за последние 20 лет».

WordPress — одна из самых распространенных систем для создания веб-сайтов — использует PHP, как и «Википедия».

Компания Watchtowr сообщала об «активных попытках эксплуатации» обеих уязвимостей. Cloudflare отметила, что видит атакующий трафик против своих клиентов и наблюдает, как злоумышленники меняют полезную нагрузку, чтобы обойти правила ее файрвола, который компания включила по умолчанию еще до выхода патча. Подтверждений успешных взломов пока нет.

Власти Нидерландов, Дании, Франции, Финляндии, Японии превентивно отключили часть своих сайтов еще до выхода исправлений. В Нидерландах в офлайн ушли местный портал госуслуг MijnOverheid, система цифровой идентификации DigiD, сайт парламента, а также сайты национального киберцентра и регулятора по защите данных.

В Канаде о временном отключении объявил министр по ИИ и цифровым инновациям Эван Соломон, призвав операторов PHP-сайтов срочно обновиться.

В США предупреждение выпустило агентство CISA. Европейская группа CERT-EU советовала тем, кто не может обновиться сразу, изолировать интернет-сервисы от внешней сети.

В России система «Битрикс24» временно ограничила часть функций облачного сервиса. Также ограничения ввели и некоторые СМИ. Вечером 21 октября «Битрикс24» восстановил свою работу. Владельцам коробочной версии системы и сайтов на «1С-Битрикс» компания рекомендовала отдельно обновить PHP на своих серверах.