Критические уязвимости в PHP угрожают удалённым захватом миллионов серверов

Мировое сообщество веб-разработчиков и специалистов по кибербезопасности переживает напряжённые часы: команда разработчиков одного из самых распространённых языков программирования PHP выпустила экстренные обновления безопасности. Причиной стали две критические уязвимости, которые теоретически позволяют злоумышленникам получить удалённый контроль над уязвимыми системами. Фонд PHP (PHP Foundation) опубликовал подробности о двух дырах в безопасности, получивших идентификаторы CVE-2026-109618 и CVE-2026-109619. По данным организации, они затрагивают «все установки PHP, обслуживающие веб-запросы», начиная с версии 5, увидевшей свет ещё в июле 2004 года. Правда, официальную поддержку и патчи получат только ветки PHP 8.2 и новее. В фонде отметили, что некоторые дистрибутивы и сторонние вендоры по-прежнему выпускают исправления для устаревших версий, однако это слабое утешение: PHP настолько глубоко встроен в интернет-инфраструктуру, что забытые и необновлённые установки могут десятилетиями существовать где-то на периферии Сети.

«Полных способов смягчения последствий не существует, обновление — единственный безопасный выбор», — подчёркивается в официальном предупреждении. Независимый консультант по безопасности и приглашённый старший научный сотрудник Королевского колледжа Лондона Лукаш Олейник не скрывает тревоги: «Это не учебная тревога». С 1990-х годов PHP превратился в фундаментальный язык сценариев для веб-разработки, и на нём работает огромная часть интернета — от систем управления контентом вроде WordPress и Drupal до платформ электронной коммерции, таких как Magento от Adobe. Олейник сравнивает распространённость языка с критической инфраструктурой и предупреждает, что последствия могут быть колоссальными, ведь под удар могут попасть миллионы систем. «Особенно если атакующие быстро возьмутся за эксплуатацию этих уязвимостей. Худший сценарий — червеобразное вредоносное ПО, поражающее значительные части интернета», — говорит эксперт.

Главный страх команд безопасности и разработчиков — что хакеры набросятся на дыры и начнут эксплуатировать незапатченные установки раньше, чем те будут закрыты. Компания Cloudflare, управляющая интернет-инфраструктурой, сообщила, что ещё до публикации подробностей и выхода исправлений уже наблюдала «первые признаки атак». А фирма Sansec, специализирующаяся на безопасности, прямо заявила: «Мы ожидаем начала массовых атак в течение 15 минут после релиза». Исправления вышли в среду незадолго до 10 утра по восточному времени США. «Большая часть интернета работает на PHP, а эта ошибка находится в интерфейсе загрузки файлов, который можно сравнить с входной дверью без замка, — объясняет давний консультант по безопасности и комплаенсу Дави Оттенхаймер. — Атакующему даже не нужно знать, на какой сайт он нападает и какое программное обеспечение там крутится. Он отправляет один специально сформированный файл на любой найденный сервер — и это вся атака».

Пока обновления не стали доступны, некоторые организации перестраховались и отключили свои сайты. По сообщениям, были недоступны несколько ресурсов финского правительства, включая Национальную земельную службу. Сайты французских госструктур и порт Роттердама также ушли в офлайн, передаёт Reuters. «Все должны немедленно установить патчи, эксплуатация может произойти очень быстро и в массовом масштабе, — настаивает Олейник. — Искусственный интеллект делает эксплуатацию таких уязвимостей вопросом сиюминутной важности. Буквально минуты».

Любопытная деталь: компания Wiz, принадлежащая Google, утверждает, что её исследователи обнаружили уязвимости в PHP частично с помощью инструментов искусственного интеллекта. OpenAI и фирма Calif также заявили, что независимо нашли проблемы и работали сообща. Свою демонстрацию эксплуатации исследователи Wiz назвали php2shell и отметили, что в некоторых случаях дыры эксплуатируются «довольно легко». «Уязвимости позволяют неаутентифицированным атакующим выполнять код на затронутых серверах или читать чувствительную память процессов, — пишет Wiz. — В этой памяти могут храниться пароли, токены аутентификации, API-ключи и сертификаты, принадлежащие другим запросам или самому серверу».

Впервые информация о готовящихся уязвимостях появилась 20 октября. В короткой заметке на сайте PHP фонд сообщил, что даёт «предварительное уведомление» о проблемах и скором выходе исправлений. Не раскрывая деталей и не называя затронутые версии, там указали, что обе дыры получили «критическую» оценку 9,2 из 10 по шкале CVSS. «Мы оставляем за собой право выпустить обновления раньше, если подробности любой из уязвимостей станут публичными или появятся свидетельства активной эксплуатации в реальных условиях», — говорилось в предупреждении. По данным Bleeping Computer и Ars Technica, часть информации об уязвимостях могла утечь до официальной публикации. Раннее предупреждение фонда, вероятно, дало разработчикам и компаниям фору для подготовки. Европейская команда реагирования на компьютерные чрезвычайные ситуации (EU-CERT) и австралийское агентство по кибербезопасности призвали ИТ-команды быть готовыми к немедленному обновлению, допустив временное отключение сайтов на время установки патчей. Британский Национальный центр кибербезопасности (NCSC) также опубликовал оповещение с рекомендацией «готовиться к немедленному обновлению».