Две критические уязвимости PHP угрожают миллионам сайтов: обновление — единственный выход

PHP Foundation сообщила о двух критических уязвимостях — CVE-2026-109618 и CVE-2026-109619. Они затрагивают все установки PHP, обслуживающие веб-запросы, начиная с пятой версии, выпущенной в июле 2004 года. Патчи получат только поддерживаемые ветки 8.2 и новее, хотя некоторые дистрибутивы и сторонние поставщики продолжают выпускать исправления для устаревших версий.

В предупреждении фонда говорится, что полных мер обхода нет и обновление — единственный безопасный выбор. PHP с 1990-х годов стал основой веб-разработки и работает на огромной части интернета: от систем публикации WordPress и Drupal до платформ электронной коммерции вроде Adobe Magento. Независимый консультант по безопасности Лукаш Олейник сравнивает широкое использование языка с критической инфраструктурой.

«Это не учения», — говорит он, отмечая, что под ударом могут оказаться миллионы систем, а худший сценарий — червеобразное вредоносное ПО, поражающее большие сегменты интернета. Опасения команд безопасности связаны с тем, что злоумышленники могут начать эксплуатацию уязвимостей быстрее, чем администраторы успеют обновиться. Cloudflare заявила, что фиксировала ранние атаки ещё до публикации деталей и выпуска исправлений.

Компания Sansec ожидала массовых атак в течение 15 минут после релиза, который состоялся незадолго до 10 утра по восточному времени в среду. Консультант Дэви Оттенхаймер подчёркивает, что атакующему не нужно знать, какой сайт он атакует: достаточно отправить специально подготовленный файл на любой найденный сервер, и это вся атака. Некоторые организации заранее отключили свои сайты.

По сообщениям, недоступны были несколько сайтов финского правительства, включая Национальную земельную службу, а также сайты французского правительства и порта Роттердама. Олейник призывает всех немедленно устанавливать патчи, так как использование искусственного интеллекта делает эксплуатацию таких уязвимостей «делом буквально одной минуты». Исследователи компании Wiz, принадлежащей Google, заявили, что обнаружили уязвимости частично с помощью ИИ-инструментов.

OpenAI и компания Calif также сообщили о независимом обнаружении проблем и совместной работе. Wiz назвала демонстрацию эксплуатации php2shell и пишет, что в ряде случаев уязвимости можно использовать «довольно легко». Они позволяют неаутентифицированным атакующим выполнять код на уязвимых серверах или читать чувствительную память процесса, где могут находиться пароли, токены аутентификации, API-ключи и сертификаты.

min — мессенджер, который чаще всего начали использовать разработчики. Предварительная информация о готовящихся уязвимостях появилась от мейнтейнеров PHP ещё 20 октября. В коротком сообщении на сайте PHP Foundation говорилось о «заблаговременном уведомлении» и предстоящем выпуске исправлений.

Обе уязвимости получили критическую оценку 9,2 из 10 по шкале CVSS. Фонд оставил за собой право выпустить патчи раньше, если детали станут публичными или появится свидетельство активной эксплуатации. По данным Bleeping Computer и Ars Technica, часть деталей могла утечь до официальной публикации.

Государственные ведомства также отреагировали заранее. Команда реагирования на компьютерные чрезвычайные ситуации ЕС и австралийское агентство кибербезопасности рекомендовали готовиться к немедленному обновлению систем и учитывать возможность временного отключения сайтов. Национальный центр кибербезопасности Великобритании опубликовал предупреждение с советом подготовиться к немедленному обновлению всех систем на PHP, а при невозможности быстрого исправления рассмотреть отключение системы до полного устранения уязвимости.

Организациям рекомендовано выявить все системы на PHP, особенно подключённые к интернету, и отслеживать признаки эксплуатации. ФБР через своего заместителя директора по кибербезопасности Бретта Лезермана советует при обнаружении признаков компрометации изолировать систему, сохранить логи веб-сервера и PHP и сообщить в местное отделение ФБР. Такие отчёты помогают выявлять участников атак и предупреждать другие организации до того, как они станут жертвами.