Сьогодні низка відомих інтернет-ресурсів, включно з 4chan, DeviantArt та Wikipedia, тимчасово припинили свою роботу через виявлення двох серйозних вразливостей у мові програмування PHP. Ця мова лежить в основі значної частини сучасного інтернету, що робить проблему актуальною для мільйонів вебсайтів, побудованих на таких платформах, як WordPress. Навіть урядові установи Нідерландів та Фінляндії вдалися до офлайну своїх ресурсів з міркувань безпеки.
Агентство Національної Безпеки США (NSA) у своєму офіційному акаунті в соцмережі X рекомендувало організаціям відключати системи, якщо негайне оновлення неможливе. Свою думку щодо необхідності вжити заходів підтвердив і Британський Національний центр кібербезпеки. Навіть популярні ігрові сервіси, як-от Pokémon Home та Pokémon Champions, були виведені з ладу.
Компанія OpenAI заявила про своє втручання у виявлення цих так званих PHP2Shell вразливостей. Важливо зазначити, що сама проблема існує близько 20 років, але раніше її використання вимагало надзвичайно складного ланцюга дій, який був майже неможливим для виконання людиною. Однак, потужні моделі штучного інтелекту значно спростили процес перетворення таких маловідомих помилок на реальні загрози.
Мова PHP, за даними W3Techs, використовується приблизно 69,3 відсотка всіх вебсайтів, чию серверно-орієнтовану мову програмування вдалося визначити. Серед них – такі впливові ресурси, як Wikipedia та WordPress. За даними VirusTotal, сканери цієї платформи фіксують близько 3,8 мільйона сайтів, що працюють на PHP і мають відкритий порт.
Згідно з заявою OpenAI, група безпеки ШІ Calif ідентифікувала критичну вразливість у PHP за допомогою своєї моделі GPT-5.6 Sol. Незалежно, компанія Wiz, що належить Google, також виявила та повідомила про ці вразливості, використовуючи штучний інтелект. PHP Foundation підтверджує, що експлойт для однієї з вразливостей “теоретично розглядався” у 2024 році, але конкретних шляхів реалізації виявлено не було.
Тепер, за даними PHP Group, хакери можуть використовувати виявлені вразливості для “неавторизованого виконання віддаленого коду”. Це означає можливість запуску власного коду, зміни контенту вебсайту та доступу до збережених даних без необхідності логіну чи пароля адміністратора.
Перша вразливість, CVE-2026-109618 (GHSA-w8hw-w9fx-j79w), стосується обробки помилок “out-of-memory”, яка може призвести до переривання роботи PHP під час часткового ініціалізації внутрішніх даних запиту. Очищення запиту в такому разі може трактувати недійсні дані як коректні.
Друга вразливість, CVE-2026-109619 (GHSA-6wmf-4rv5-p3rp), пов’язана зі “застарілим глобальним станом”. Внутрішній стан, що належить запиту, може залишатися активним після звільнення його пам’яті. Наступний запит, оброблюваний тим самим робітником, може використати цей застарілий стан до нормального його скидання.
Серйозність ситуації важко переоцінити. PHP Group повідомляє, що практично будь-який сайт, що працює на PHP, перебуває під загрозою. OpenAI, яка брала участь у дослідженні, характеризує це як “одну з найбільш значущих проблем безпеки за останній час”. Wiz називає ці вразливості “одними з найсерйозніших, виявлених за всю історію програмного забезпечення”.
Ці вразливості можуть дозволити зловмисникам отримати повний контроль над сервером. Це включає доступ до паролів, ключів API, криптографічних сертифікатів та баз даних конфіденційної інформації. Крім того, вони можуть виконувати код на цих серверах, перетворюючи їх на інструменти для атак на інші вразливі ресурси. З появою штучного інтелекту, для кваліфікованого хакера стає відносно просто експлуатувати ці недоліки.
Для звичайних користувачів інтернету можливості обмежені. Вразливість стосується серверів, що працюють на PHP, і не завжди націлена безпосередньо на кінцевого користувача. Однак, скомпрометовані сайти можуть бути використані для поширення шкідливого програмного забезпечення та крадіжки цінних даних. Задля додаткової обережності, користувачам рекомендується відстежувати офіційні акаунти сайтів і сервісів, якими вони користуються, на предмет оновлень перед відвідуванням.
Власникам вебсайтів, навіть найпростіших блогів, варто перевірити версію PHP, яку використовує їхній ресурс. Сервіси на кшталт Squarespace чи Wix, які не підтримують PHP, знаходяться поза зоною ризику.
Клієнтам вебхостинг-провайдерів, таких як Hostinger, GoDaddy, Bluehost та інших, слід бути більш пильними. GoDaddy зазначає, що будь-який сайт, що використовує PHP, слід вважати ураженим і якнайшвидше оновитися до виправленої версії. Компанія також рекомендує оновити сайти, що працюють на PHP 8.1 або старіших версіях, до новіших, оскільки ці версії більше не підтримуються та не отримають офіційних виправлень.
Користувачам керованих хостингових послуг слід звернутися до своїх провайдерів для уточнення термінів розгортання виправлень. Власникам ресурсів, де зберігаються чутливі дані, наприклад, дані клієнтів чи платіжна інформація, найкраще тимчасово вимкнути сайт до моменту, поки їхній хостер не встановить оновлення безпеки.
