Сегодня ряд известных интернет-ресурсов, включая 4chan, DeviantArt и Wikipedia, временно прекратили свою работу из-за обнаружения двух серьезных уязвимостей в языке программирования PHP. Этот язык лежит в основе значительной части современного интернета, что делает проблему актуальной для миллионов вебсайтов, построенных на таких платформах, как WordPress. Даже правительственные учреждения Нидерландов и Финляндии прибегли к оффлайну своих ресурсов по соображениям безопасности.
Агентство Национальной Безопасности США (NSA) в своем официальном аккаунте в соцсети X рекомендовало организациям отключать системы, если немедленное обновление невозможно. Свое мнение о необходимости принять меры подтвердил и Британский Национальный центр кибербезопасности. Даже популярные игровые сервисы, такие как Pokémon Home и Pokémon Champions, были выведены из строя.
Компания OpenAI заявила о своем вмешательстве в обнаружении этих так называемых PHP2Shell уязвимостей. Важно отметить, что сама проблема существует около 20 лет, но раньше ее использование требовало чрезвычайно сложной цепи действий, которая была почти невозможна для выполнения человеком. Однако мощные модели искусственного интеллекта значительно упростили процесс превращения таких малоизвестных ошибок в реальные угрозы.
Язык PHP, по данным W3Techs, используется примерно 69,3 процента всех вебсайтов, чей серверно-ориентированный язык программирования удалось определить. Среди них – такие влиятельные ресурсы, как Wikipedia и WordPress. По данным VirusTotal, сканеры этой платформы фиксируют около 3,8 миллионов сайтов, работающих на PHP и имеющих открытый порт.
Согласно заявлению OpenAI, группа безопасности ИИ Calif идентифицировала критическую уязвимость в PHP с помощью своей модели GPT-5.6 Sol. Независимо компания Wiz, принадлежащая Google, также обнаружила и сообщила об этих уязвимостях, используя искусственный интеллект. PHP Foundation подтверждает, что эксплойт для одной из уязвимостей «теоретически рассматривался» в 2024 году, но конкретных путей реализации не было обнаружено.
Теперь, по данным PHP Group, хакеры могут использовать обнаруженные уязвимости для «неавторизованного выполнения удаленного кода». Это означает возможность запуска собственного кода, изменения контента веб-сайта и доступа к сохраненным данным без необходимости логина или пароля администратора.
Первая уязвимость, CVE-2026-109618 (GHSA-w8hw-w9fx-j79w), касается обработки ошибок “out-of-memory”, которая может привести к прерыванию работы PHP во время частичной инициализации внутренних данных запроса. Очистка запроса в таком случае может рассматривать недействительные данные как корректные.
Вторая уязвимость, CVE-2026-109619 (GHSA-6wmf-4rv5-p3rp), связана с «устаревшим глобальным состоянием». Внутреннее состояние, принадлежащее запросу, может оставаться активным после освобождения его памяти. Следующий запрос, обрабатываемый тем же рабочим, может использовать это устаревшее состояние до нормального его сброса.
Серьезность ситуации сложно переоценить. PHP Group сообщает, что практически любой сайт, работающий на PHP, находится под угрозой. OpenAI, участвовавшая в исследовании, характеризует это как одну из наиболее значимых проблем безопасности за последнее время. Wiz называет эти уязвимости «одними из самых серьезных, обнаруженных за всю историю программного обеспечения».
Эти уязвимости могут позволить злоумышленникам получить полный контроль над сервером. Это включает доступ к паролям, ключам API, криптографическим сертификатам и базам данных конфиденциальной информации. Кроме того, они могут выполнять код на этих серверах, превращая их в инструменты для атак на другие уязвимые ресурсы. С появлением искусственного интеллекта для квалифицированного хакера становится относительно просто эксплуатировать эти недостатки.
Для обычных пользователей Интернета возможности ограничены. Уязвимость касается серверов, работающих на PHP, и не всегда направлена непосредственно на конечного пользователя. Однако скомпрометированные сайты могут использоваться для распространения вредоносного программного обеспечения и кражи ценных данных. Для дополнительной осторожности пользователям рекомендуется отслеживать официальные аккаунты сайтов и сервисов, которыми они пользуются, на предмет обновлений перед посещением.
Владельцам вебсайтов, даже самых простых блогов, следует проверить версию PHP, используемую их ресурсом. Сервисы типа Squarespace или Wix, не поддерживающие PHP, находятся вне зоны риска.
Клиентам вебхостинг-провайдеров, таких как Hostinger, GoDaddy, Bluehost и других, следует быть внимательнее. GoDaddy отмечает, что любой сайт, использующий PHP, следует считать пораженным и как можно быстрее обновиться до исправленной версии. Компания также рекомендует обновить сайты, работающие на PHP 8.1 или более старых версиях, до более новых, поскольку эти версии больше не поддерживаются и не получат официальных исправлений.
Пользователям управляемых хостинговых услуг следует обратиться к своим провайдерам для уточнения сроков развертывания исправлений. Владельцам ресурсов, где хранятся чувствительные данные, например, данные клиентов или платежная информация, лучше временно отключить сайт до тех пор, пока их хостер не установит обновление безопасности.
