Паника вокруг PHP: две критических уязвимости ставят под угрозу 70% интернета, и все в шоке

Если вы сегодня хоть раз заходили в интернет, вы видели панику: критическая уязвимость угрожает «взломать» практически каждый сайт на планете.

Финляндия только что начала в среду отключать правительственные сайты, АНБ рекомендует всем организациям, использующим PHP, отключить свои сайты, и Нидерланды с Францией сделали то же самое. И нет, это была не кибервойна.

Виновником был PHP — язык программирования, о котором большинство людей никогда не слышали. Но вы почти наверняка использовали его сегодня: согласно W3Techs, он работает примерно на 70% всех сайтов, у которых известен серверный язык.

PHP — это программное обеспечение, работающее за кулисами на сервере веб-сайта — компьютере, который хранит сайт и создаёт каждую запрашиваемую вами страницу. Каждый сайт на WordPress, например, работает на PHP-сервере, согласно данным компании по безопасности WordPress Wordfence.

Кстати, Wordfence тоже не работает.

Две недавно обнаруженные уязвимости в самом PHP позволяют постороннему человеку выполнять собственные команды на этом сервере, даже не входя в систему. Специалисты по безопасности называют это неаутентифицированным удалённым выполнением кода. Все остальные могут назвать это «теперь за рулём кто-то другой».

Если на этом сервере хранится ваша учётная запись, ваш адрес или история ваших заказов, что ж, теперь это тоже принадлежит им. Хостинг-провайдер GoDaddy предупредил, что эти уязвимости могут позволить злоумышленникам украсть данные, испортить сайты или полностью захватить серверы.

«Подобная уязвимость может позволить злоумышленнику выполнить собственный код на уязвимом сервере через интернет, что может привести к краже данных, порче сайта или полному захвату», — говорит GoDaddy.

Что объявил PHP

PHP Foundation, некоммерческая организация, финансирующая разработку языка, во вторник объявила тревогу. В заявлении, опубликованном в X, она сообщила: «Команда безопасности PHP заранее предупреждает: предстоящий выпуск безопасности в среду, 21 октября 2026 года, 14:00 UTC, две критические уязвимости, обе оценены по CVSSv4 в 9.2. Пользователям PHP рекомендуется подготовиться к обновлению. Более ранний выпуск, если детали станут публичными или появятся доказательства активной эксплуатации».

Эта оценка 9.2 происходит из CVSS, Общей системы оценки уязвимостей, которая оценивает опасность ошибки на основе таких факторов, как лёгкость доступа к ней через интернет и потенциальный ущерб. Шкала идёт от 0 до 10, и всё от 9.0 и выше помечается как критическое — так что эти две уязвимости почти настолько плохи, насколько это возможно, не достигая идеальной десятки.

Исправление вышло примерно в 13:35 UTC в среду, на несколько минут раньше, в виде версий PHP 8.5.12, 8.4.27, 8.3.36 и 8.2.35. Уведомление о безопасности не стало смягчать формулировки: «Всем пользователям PHP настоятельно рекомендуется немедленно обновиться».

Но выпустить исправление и добиться, чтобы все внедрили это решение, — не одно и то же, поэтому следует соблюдать осторожность.

Как работают эти ошибки

Первая ошибка, CVE-2026-109618, проявляется, когда PHP исчерпывает память на полпути обработки запроса, а затем впоследствии обращается с этими недостроенными данными так, будто они завершены. Вторая, CVE-2026-109619, позволяет остаткам от запроса одного посетителя задерживаться в памяти после того, как их должны были отбросить, где следующий запрос может на них наткнуться.

Представьте повара, который продолжает читать заказы с тикетов, уже выброшенных в мусор. Подбросьте поддельный тикет в корзину — и повар приготовит всё, что вы на нём написали. В данном случае «заказ» — это код атакующего, и сервер его выполняет.

PHP заявила, что риск наиболее высок на серверах, использующих распространённую конфигурацию Apache под названием mod_php, где продемонстрированный эксплойт срабатывает «до того, как выполнится какой-либо код приложения». Иными словами, собственные средства защиты сайта, такие как экраны входа и плагины безопасности WordPress, даже не успевают проснуться.

Исследователи фонда PHP указали на функцию PHP для отслеживания прогресса загрузки — ту самую, что отслеживает, сколько файла вы уже отправили, — как на один из подтверждённых путей проникновения. Она включена по умолчанию более десяти лет, и мало какие сайты её действительно используют.

Утечка, а затем атаки

Ничто из этого не должно было стать публичным так скоро. Во вторник кто-то написал на форуме Hacker News, что две уязвимости PHP будут раскрыты в четверг, признав при этом, что у него «нет доказательств, кроме „источник: поверь мне, брат“».

Оказалось, брат был прав. Компания по безопасности watchTowr подтвердила, что ошибки реальны и находятся под эмбарго — соглашением держать детали в тайне до готовности исправления, — и PHP перенесла свой релиз на день раньше.

«Мы наблюдаем появление первых атак и обновляем меры защиты по мере появления новых векторов», — написал в X технический директор Cloudflare Дейн Кнехт ранним утром в среду, почти за шесть часов до выхода патча. Cloudflare развернула экстренные правила межсетевого экрана — фильтры, блокирующие известные шаблоны атак, — для всех клиентов, но Кнехт назвал их «лишь временной мерой».

Правительства нажимают на выключатель

Государственный IT-центр Финляндии Valtori начал отключать публичные веб-сервисы в качестве меры предосторожности, сообщила общественная телерадиокомпания Yle, а нидерландское национальное агентство по кибербезопасности отключило собственный сайт.

Министерство внутренних дел Франции заявило, что сайты префектур были «временно отключены в ожидании выпуска патча безопасности издателем фреймворка».

CERT-EU, команда ЕС по киберчрезвычайным ситуациям, сообщила организациям, которые не могут установить патч, «рассмотреть возможность изоляции интернет-приложений от публичных сетей до тех пор, пока не будет доступно исправление». На бюрократическом языке это означает «отключите его». Агентства Австралии, Японии и Великобритании заявили примерно то же самое, согласно Reuters.

В чём ошиблись вирусные посты

Вирусные треды в X утверждали, что версии PHP «вплоть до 2004 года» уязвимы. Это восходит к ранним оценкам, что затронуто всё начиная с PHP 5, которые, как признал CERT-EU, основаны на постах в социальных сетях.

Компания по безопасности электронной коммерции Sansec определяет диапазон как PHP 5.4 и более поздние версии. То есть 2012 год, а не 2004 — всё ещё довольно старый.

PHP выпускает официальные релизы только для версий 8.2 и новее, что делает утверждение «нет исправления для старых версий» наполовину верным. Учитывая, насколько серьёзна эта проблема, его команда безопасности также опубликовала минимальные патчи исходного кода для 7.4, 8.0 и 8.1, а дистрибутивы Linux переносят собственные исправления.

Компания по безопасности Mallory насчитала около 884 000 интернет-хостов, сообщающих о PHP 8.1 или более старой версии, по состоянию на 20 октября, или 59% из примерно 1,5 миллиона, которые публично показывают версию. Один сервер общего хостинга может содержать множество веб-сайтов, поэтому число сайтов за ними выше.

Некоторые треды также приплели Node.js — другую веб-технологию, которая случайно назначила собственное, не связанное с этим обновление безопасности на тот же день. Неудачное совпадение.

Даже исправленные версии не достигнут всех серверов одновременно. «Если вы полагаетесь на поддерживаемый волонтёрами https://rpms.remirepo.net, мы настоятельно призываем вас перейти на пакеты дистрибутива или сборку из исходного кода прямо сейчас, чтобы вы могли немедленно применять обновления. В этом репозитории сегодня обновлений не будет», — заявил PHP Foundation в своём заявлении, имея в виду популярный поддерживаемый волонтёрами источник пакетов PHP для Linux-серверов в стиле Red Hat.

Стоит ли вам действительно беспокоиться?

Паниковать не стоит, но и отмахиваться тоже. Взломанный веб-сайт, например, вовсе не обязательно должен касаться блокчейна, чтобы опустошить ваш кошелёк. В 2024 году злоумышленники перенаправили фронтенды DeFi-протоколов Compound и Celer на страницы, которые опустошали подключённые кошельки, а Curve Finance подверглась аналогичной атаке в 2025 году.

Это были DNS-перехваты, а не ошибки PHP, но трюк тот же: сайт выглядит правильно, URL выглядит правильно, а кнопка «одобрить» отправляет ваши токены куда-то ещё. Взломанный сервер может отдавать именно такую страницу.

Хакеры могут проявлять очень большую изобретательность, очень быстро, когда речь идёт об эксплойтах нулевого дня.

Такие ошибки также становится всё легче находить, поскольку передовые ИИ-модели всё чаще используются для поиска уязвимостей в программном обеспечении, и эксперты сообщили Decrypt в июне, что по мере распространения этих инструментов может всплыть гораздо больше уязвимостей.

Что будет дальше и что делать

Как только патч становится публичным, злоумышленники могут сравнить старый и новый код, чтобы точно увидеть, что было исправлено, и команда криминалистики компании по кибербезопасности Sansec заявила, что ожидает «массовых атак в течение 15 минут после выпуска». Когда в июне 2024 года стала публичной другая уязвимость PHP, Akamai зафиксировала попытки эксплуатации против своих приманок-серверов в течение 24 часов.

Так стоит ли обычному человеку паниковать? Не совсем. Вашему телефону, браузеру и ноутбуку не нужен патч для PHP; эта работа ложится на того, кто управляет сайтами, которые вы используете.

Если вы управляете сайтом, спросите у своего хостинг-провайдера, обновлён ли PHP, и не рассчитывайте, что WordPress сделает это за вас: Wordfence предупредила, что автоматические обновления не применят это исправление, и посоветовала владельцам сайтов выяснить, кто отвечает за обновление PHP на их серверах. Всем, кто использует версию 8.1 или более старую, нужно планировать обновление.

«Единственное, что я могу сказать, — это то, что единственная мера защиты — это патчинг / обновление PHP», — заявила разработчик ядра PHP Джина Питер Баньярд в Mastodon. «К сожалению, я знаю слишком много».

А если вы используете PHP 8.2, то исправление, которое вы только что получили, — одно из последних: эта версия достигает конца жизненного цикла 31 декабря 2026 года, после чего она больше не будет получать патчи безопасности.