Дыры в PHP: миллионы атак, сайты офлайн
Две критические ошибки в PHP, на котором работает примерно семь сайтов из десяти, за сутки заставили банки, авиакомпании и госслужбы от Токио до Хельсинки отключать сервисы. Cloudflare насчитала миллионы попыток взлома. Что произошло В среду, 21 октября, около пяти вечера по Москве разработчики PHP выпустили экстренные исправления. Они закрывали две ошибки, которые получили общее имя PHP2Shell (CVE-2026-109618 и CVE-2026-109619). Опасность оценили в 9,2 балла из 10. К этому моменту часть мира уже выключала сайты. Уязвимости нашли ещё в августе, и два месяца команда PHP вместе со сторонними специалистами готовила патчи. Но информация утекла. 20 октября на профильном форуме появился пост с номерами обеих ошибок и обещанием раскрыть подробности 22-го. Образовалось окно: о дырах уже знали, а заплаток ещё не было. По словам Мадлен Лоуренс из бельгийской Aikido Security, подробности стали публичными раньше, чем исправления были готовы, и сообщения об атаках пошли сразу. Что такое PHP, и