О проблеме стало известно 21 октября. Обнаруженные ошибки, получившие общее название PHP2Shell, затрагивают программную инфраструктуру, на которой работают сайты интернет-магазины, государственные порталы, информационные ресурсы, онлайн-сервисы и многие другие. При этом PHP — один из наиболее распространённых языков программирования для создания сайтов и веб-приложений. Он используется, в частности, в системе управления контентом WordPress, а также в Drupal, Joomla и MediaWiki — программной платформе интернет-энциклопедии «Википедия». В отличие от программного кода, который выполняется непосредственно в браузере пользователя, PHP работает на сервере. Он отвечает за обработку запросов, взаимодействие с базами данных, формирование страниц и выполнение других операций, необходимых для функционирования сайтов.

Хакеры могут получить контроль над серверами

Уязвимости обнаружили специалисты компаний Wiz и Calif, использовавшие современные системы ИИ для анализа программного кода. Исследователи установили, что ошибки содержатся непосредственно в программном ядре PHP, а не в отдельных приложениях, созданных с его помощью. Это означает, что даже сайт с правильно настроенной системой безопасности и без известных ошибок в собственном коде может оказаться под угрозой, если сервер использует уязвимую версию PHP. Обнаруженные проблемы зарегистрированы под идентификаторами CVE-2026-109618 и CVE-2026-109619. Каждая получила оценку 9,2 балла из 10 по международной шкале серьёзности уязвимостей CVSS.

В определённых условиях злоумышленники могут воспользоваться этими ошибками для удалённого выполнения программного кода без предварительной авторизации. Фактически это открывает возможность захватить управление уязвимым сервером, изменить содержимое сайта или получить доступ к хранящейся на нём информации. Кроме того, исследователи продемонстрировали возможность извлечения данных непосредственно из оперативной памяти серверных процессов. В ней могут находиться пароли, ключи доступа, токены авторизации и другая конфиденциальная информация. По данным специалистов, затронуты версии PHP, выпускавшиеся на протяжении более десяти лет, включая некоторые релизы начиная с PHP 5.4.

Государственные учреждения начали отключать сайты

Публикация информации об уязвимостях вызвала масштабную реакцию государственных структур и организаций, отвечающих за кибербезопасность. В целях предосторожности часть своих систем временно отключила Wikimedia и другие интернет-проекты.

Ограничения затронули также отдельные государственные сайты Финляндии, интернет-ресурсы городского совета Эдинбурга, ряда государственных организаций Шотландии и некоторых подразделений BBC. Национальное агентство кибербезопасности Нидерландов также временно отключило свой сайт. В Швейцарии после предупреждения европейской службы реагирования на компьютерные инциденты CERT-EU был недоступен сайт Женевского университета.

Особую обеспокоенность специалистов вызывают сайты небольших компаний и организаций, у которых нет собственных подразделений информационной безопасности. Такие ресурсы могут продолжать работать на устаревших версиях программного обеспечения, а их владельцы зачастую не знают о необходимости устанавливать обновления на сервере. Эксперт Университета Нового Южного Уэльса в Сиднее Салил Канхере предупредил, что после публикации технических подробностей число попыток эксплуатации обнаруженных ошибок, вероятно, продолжит увеличиваться в ближайшие недели.

На фоне глобальной кибертревоги серьёзные перебои произошли и в работе британского цифрового банка Revolut. 20 октября тысячи клиентов не могли войти в приложение, совершить платежи, перевести деньги или снять наличные. Проблемы затронули также Lloyds Bank и HSBC. Однако, как выяснилось, причиной масштабного сбоя стала авария в облачной инфраструктуре Google, а не хакерская атака. В Revolut заверили, что деньги и персональные данные клиентов не пострадали. Так что, можно выдохнуть!

Число попыток атак исчисляется миллионами

Крупнейшие технологические компании также сообщили об активности злоумышленников. Так, Amazon зафиксировала несколько попыток взлома ещё до официального раскрытия информации о них. При этом компания сообщила, что её сайты продолжали работать в обычном режиме.

Глава Cloudflare Мэтью Принс сообщил, что за десять часов до публичного объявления об уязвимостях инфраструктура компании зафиксировала тысячи попыток их эксплуатации. После публикации информации активность хакеров резко выросла. За первые 45 минут количество попыток взломов достигло десятков тысяч, в течение двух часов — сотен тысяч, а впоследствии счёт пошёл на миллионы. Эти цифры характеризуют количество зафиксированных атак, а не число успешно взломанных сайтов. Однако они свидетельствуют о том, насколько быстро злоумышленники начали использовать сведения о новых уязвимостях.

Профессор кибербезопасности Университета Аделаиды Джилл Слей предупредила, что последствия могут оказаться катастрофическими, если обнаруженные ошибки начнут активно использовать преступные группировки или государственные структуры для получения доступа к закрытой информации.

Разработчики выпустили экстренные обновления

21 октября команда разработчиков PHP выпустила обновления безопасности, устраняющие обнаруженные уязвимости. Исправления вошли в версии PHP 8.5.12, 8.4.27, 8.3.36 и 8.2.35. Разработчики призвали всех пользователей PHP незамедлительно установить обновления. Они подчеркнули, что временные защитные меры не обеспечивают полного устранения угрозы и единственным надёжным решением остаётся переход на исправленную версию программного обеспечения.

Предупреждения распространили государственные ведомства по кибербезопасности США, Великобритании, стран Евросоюза, Австралии и Сингапура.

Агентство национальной безопасности США (АНБ) рекомендовало организациям, использующим PHP, временно отключать уязвимые системы, если установить обновления немедленно невозможно. В ведомстве подчеркнули, что обнаруженные ошибки могут предоставить злоумышленникам прямой путь к получению доступа к базам данных.

Британский Национальный центр кибербезопасности (NCSC) также призвал организации срочно проверить используемые версии PHP, установить обновления и отслеживать признаки подозрительной активности. Если оперативно устранить угрозу невозможно, специалисты рекомендуют рассмотреть временное отключение соответствующих ресурсов.

Премьер-министр Японии Санаэ Такаити также обратилась к владельцам сайтов с призывом проверить, используется ли на их ресурсах PHP. Она рекомендовала незамедлительно принять меры защиты и при необходимости временно приостановить работу сайтов до установки исправлений.

ИИ может!

Особое внимание специалистов привлекло то, каким образом удалось обнаружить уязвимости, которые оставались незамеченными на протяжении многих лет. Исследователи Wiz и Calif использовали современные модели искусственного интеллекта, способные анализировать большие объёмы программного кода, выявлять сложные взаимосвязи между ошибками и проверять потенциальные способы их эксплуатации.

Согласно опубликованному Wiz отчёту, первые уязвимости были обнаружены 19 августа 2026 года. Уже 20 августа специалисты подтвердили возможность удалённого выполнения кода на сервере с Drupal, а на следующий день — на сервере с WordPress.

24 августа Wiz передала сведения разработчикам PHP. В последующие недели специалисты совместно с другими компаниями работали над исправлениями и подготовкой защитных механизмов.

В OpenAI назвали обнаруженные уязвимости одними из наиболее значимых проблем безопасности программного обеспечения за последнее время. Компания отметила, что искусственный интеллект помог специалистам выявить ошибки и подготовить исправления до того, как информация о них стала общедоступной. По мнению экспертов, ситуация с PHP2Shell может стать поворотным моментом в развитии кибербезопасности. Искусственный интеллект позволяет находить (а также и эксплуатировать!) ошибки, которые раньше считались слишком сложными для практического использования.

Что делать владельцам сайтов и обычным пользователям

Специалисты подчёркивают, что основная ответственность за устранение угрозы лежит на владельцах сайтов, администраторах серверов и хостинг-провайдерах. Если сайт работает на WordPress, Drupal или другой платформе, использующей PHP, необходимо проверить версию языка программирования, установленную на сервере, и убедиться в наличии необходимых обновлений. При этом обновление самой WordPress, её тем оформления или плагинов не устраняет уязвимости PHP2Shell. Исправления должны быть установлены непосредственно в PHP.

Владельцам сайтов, которые пользуются услугами хостинг-компаний или сторонних разработчиков, рекомендуется связаться с технической поддержкой и уточнить, были ли установлены необходимые обновления. Для проверки потенциально уязвимых версий PHP компания OpenAI также представила специальный инструмент, распространяемый в виде навыка для Codex.

Обычным пользователям интернета, как правило, не требуется предпринимать специальных действий. Однако специалисты советуют внимательно следить за сообщениями сервисов, которыми они пользуются, и выполнять рекомендации по смене паролей, если соответствующие уведомления поступят от самих организаций.

Дополнительную опасность представляют мошеннические письма и сообщения, эксплуатирующие общественный интерес к масштабной проблеме безопасности. Злоумышленники могут рассылать поддельные предупреждения об угрозе взлома, предлагая перейти по ссылке, скачать обновление или сообщить данные учётной записи.

Эксперты ожидают, что в ближайшие недели количество попыток эксплуатации PHP2Shell останется высоким. Несмотря на выпуск исправлений, многие сайты могут продолжать работать на уязвимых версиях PHP, особенно если их владельцы не обеспечивают регулярное обновление серверного программного обеспечения.

Обнаружение PHP2Shell продемонстрировало одновременно новые возможности и новые риски, связанные с развитием искусственного интеллекта. Технологии, позволяющие специалистам находить скрытые ошибки в программном обеспечении, могут существенно повысить уровень защиты интернета. Однако доступность тех же инструментов для злоумышленников создаёт условия для более быстрых и масштабных кибератак.