Две критические уязвимости PHP едва не вызвали сбой в масштабах всего интернета
Уязвимости PHP2Shell позволяли без пароля проникать на серверы, работающие на языке программирования PHP. Массовых атак пока в основном удалось избежать, но многие системы остаются необновлёнными.
В среду, 21 октября, компании и организации по всему миру срочно обновляли системы после обнаружения двух критических уязвимостей в PHP — веб-технологии с открытым исходным кодом. Этот язык программирования широко используется для создания сайтов и веб-приложений, и примерно 70% интернета, доступного из сети, опираются на него. Уязвимости получили название PHP2Shell и зарегистрированы как CVE-2026-109618 и CVE-2026-109619.
Что позволяют эти ошибки
Ошибки дают злоумышленнику из любой точки мира удалённо проникнуть в необновлённую систему без пароля и без необходимости, чтобы жертва переходила по ссылке или открывала файл. Такой риск называют удалённым выполнением кода. Атакующий может установить вредоносное ПО, похитить данные или закрепиться в системе надолго.
Как развивались события
Исследовательская компания Calif заметила ошибки ещё в 2024 году, но тогда их не сочли пригодными для эксплуатации и не исправили. Позже исследователи нашли способ их использовать и предупредили PHP Foundation — организацию, поддерживающую PHP. Она держала исправления в тайне до определённого срока, чтобы крупные компании и хостинг-провайдеры успели установить их заранее. Публично патчи вышли в среду.
Банки, магазины, игровые сайты, больницы и некоторые госструктуры временно отключили сайты или сервисы ради обновления. Правительства призвали граждан и бизнес принять меры.
Атаки до раскрытия
Amazon сообщила, что зафиксировала эксплуатацию примерно за неделю до выхода патчей, указав на 17 октября. Как злоумышленник узнал об ошибках, неясно. PHP Foundation обвинила одну компанию в публикации патчей за несколько часов до срока, однако это не объясняет недельную активность. К вечеру пятницы Palo Alto Networks и Trail of Bits подтвердили случаи взлома. Глава Cloudflare Мэтью Принс заявил о резком росте попыток эксплуатации после раскрытия.
Что дальше
PHP используется также в маршрутизаторах, хранилищах данных, межсетевых экранах и VPN-устройствах, поэтому обновление может затянуться, особенно у небольших IT-команд и в устаревших системах. Calif отметила, что ИИ помогал в эксплуатации ошибок, но основная работа опиралась на знания самих исследователей.
