Что произошло?

21 октября команда, стоящая за языком программирования PHP, заявила, что обнаружила две уязвимости. Обе оценены на 9,2 из 10 по шкале CVSS, что означает критическую степень угрозы. Уязвимости позволяют злоумышленникам удаленно запускать код на сервере без аутентификации. Это может позволить им получить несанкционированный доступ к файлам и базам данных, вставлять зловредный код или изменять содержимое веб-сайтов, перенаправлять трафик на другие сайты, использовать сервер для DDoS-атак или спам-кампаний.

Эти уязвимости поставили под угрозу почти 70% всех веб-сайтов в интернете. Это доля сайтов, использующих PHP, согласно оценкам W3Techs. Разработчики настоятельно рекомендуют установить обновления немедленно. Обновления уже доступны для версий PHP 8.2 и позднее.

Что такое PHP?

PHP – это открытый скриптовый язык, созданный датским программистом Расмусом Лердорфом в 1995 году. Он обеспечивает серверную часть многих веб-сайтов и онлайн-сервисов. Несколько групп сейчас вносят свой вклад в его развитие: PHP Group, официальная группа независимых разработчиков, чьи члены включают Лердорфа; некоммерческая PHP Foundation; и независимые участники.

У PHP нет лучшей репутации среди профессиональных разработчиков, но причины этого довольно странны. Например, его легко изучать новичкам, что можно считать хорошим качеством. Но это также означает, что было написано много плохого кода на PHP. Также существует широко распространенное мнение, что он не подходит для сложных систем, хотя это не так. Язык долго критиковался за несоответствия и логические особенности, возникающие из-за его хаотичной разработки.

Тем не менее, PHP остается более популярным, чем его конкуренты. Он был создан специально для веб-разработки, легок в использовании и имеет огромную экосистему вокруг него. Многие крупные веб-сайты, включая Facebook, изначально были созданы с использованием PHP, и многие продолжают его использовать, чтобы избежать огромных затрат и усилий на переписывание всего своего кода.

Как работают эти уязвимости?

Обе уязвимости связаны с ошибками в том, как сервер обрабатывает память. Ошибки в коде PHP позволяют злоумышленнику обмануть систему, заставив ее рассматривать вредоносные данные как безопасные.

В первом случае система неправильно обрабатывает запрос и выходит из строя. Когда она пытается освободить эту память, происходит сбой, открывающий сервер для удаленного управления. Во втором случае “оставшиеся” данные от предыдущего пользователя случайно остаются в памяти сервера. Это вызывает ошибку при обработке нового запроса, снова позволяя запускать вредоносные программы.

Как были обнаружены уязвимости?

Исследователи из двух групп независимо обнаружили уязвимости. В августе 2026 года исследователь из Калифорнии Райан Остин нашел их, используя модель GPT-5.6 Sol AI. Отдельно исследователи в Wiz выявили те же проблемы и сообщили об этом разработчикам PHP. Они также использовали системы искусственного интеллекта, включая модели Gemini 4 Argon и GPT-5.6 Sol, а также собственный инструмент, Wiz Atlas.

OpenAI заявил, что команда разработчиков PHP работала два месяца с партнерами в Wiz, Cloudflare и другими компаниями, чтобы устранить уязвимости. Их целью было выпустить обновление до того, как проблема станет широко известной и злоумышленники начнут использовать ее в большом масштабе.

Однако PHP Foundation написал на своем блоге, что внешний аудит безопасности обнаружил признаки одной из уязвимостей еще в 2024 году. Тогда возникла теория, что злоумышленники могут использовать ошибку нехватки памяти. Но разработчики не нашли конкретного способа использовать ее для кибератаки и обратили свое внимание на более очевидные угрозы. Тай Дуонг, руководитель из Калифорнии, рассказал The Wall Street Journal, что проблема присутствовала в коде десятилетиями.

Действительно ли они настолько опасны?

OpenAI говорит, что уязвимости являются одной из самых серьезных киберугроз за последние годы. Волькер Душ, инженер по безопасности, работающий над проектом PHP, согласен. Он говорит, что это самая серьезная проблема, с которой столкнулся язык программирования за более чем 10 лет.

Душ считает, что ситуация сравнима с Heartbleed, ошибкой в криптографической библиотеке OpenSSL, которая позволила злоумышленникам украсть закрытые ключи серверов. Эта проблема стала общедоступной в 2014 году, когда примерно полмиллиона веб-сайтов были уязвимы для атаки – примерно 17% всех безопасных веб-серверов.

Кто находится под угрозой?

Может показаться, что уязвимости PHP – это проблема только для системных администраторов, но это не так. Злоумышленники могут направить атаку на уязвимый веб-сайт и украсть личные данные пользователей. Они также могут изменить его содержимое. Посетитель известного веб-сайта в итоге может стать жертвой фишинговой атаки или заразить свое устройство вредоносным ПО.

Наконец, критические уязвимости, подобные этим, могут повлиять на доступность веб-сайтов. В этом случае, например, некоторые государственные агентства в Бельгии, Великобритании, Дании, Нидерландах, Финляндии и Франции временно были вынуждены закрыть свои публичные веб-сайты и сервисы. Агентства в более чем десятке стран предприняли аналогичные меры. Несколько других стран просто рекомендовали перевести веб-сайты и сервисы в офлайн.

В России, Reg.ru, один из крупнейших регистраторов доменов и поставщиков хостинга, сообщил об временных ограничениях на загрузку файлов из-за проблем с PHP. Телеканал ТВ-Дождь также временно отключил свой веб-сайт.

Но если уязвимость устранена, зачем беспокоиться?

То, что обновление доступно, не означает, что системные администраторы в каждой компании и организации установят его незамедлительно. Согласно Netcraft, на июль 2026 года в мире было почти полмиллиарда веб-сайтов, но только 216 миллионов считались активными, что означало, что их регулярно обслуживали и обновляли. Существует высокий риск того, что люди могут посещать забытые веб-сайты и стать жертвами кибератаки.

Многие платформы для создания веб-сайтов используют PHP, что усложняет проблему. Самая популярная, WordPress, занимает более 58% рынка. В России, ближайший эквивалент – 1C-Битрикс, хотя он был разработан в первую очередь для корпоративных клиентов. Риски для россиян еще выше, поскольку более 90% веб-сайтов на российском интернете используют PHP.

Многие веб-сайты также используют более старые версии PHP, такие как 8.1 и более ранние. Официальная поддержка для этих версий закончилась, и переход на более новые часто требует переписывания старого кода. Хотя разработчики сделали исключение в этом случае и выпустили обновления для старых версий, установка их на сервера может быть сложной и занять много времени.