Дыры в PHP: миллионы атак, сайты офлайн

Две критические ошибки в PHP, на котором работает примерно семь сайтов из десяти, за сутки заставили банки, авиакомпании и госслужбы от Токио до Хельсинки отключать сервисы. Cloudflare насчитала миллионы попыток взлома.

Что произошло

В среду, 21 октября, около пяти вечера по Москве разработчики PHP выпустили экстренные исправления. Они закрывали две ошибки, которые получили общее имя PHP2Shell (CVE-2026-109618 и CVE-2026-109619). Опасность оценили в 9,2 балла из 10.

К этому моменту часть мира уже выключала сайты.

Уязвимости нашли ещё в августе, и два месяца команда PHP вместе со сторонними специалистами готовила патчи. Но информация утекла. 20 октября на профильном форуме появился пост с номерами обеих ошибок и обещанием раскрыть подробности 22-го. Образовалось окно: о дырах уже знали, а заплаток ещё не было. По словам Мадлен Лоуренс из бельгийской Aikido Security, подробности стали публичными раньше, чем исправления были готовы, и сообщения об атаках пошли сразу.

Что такое PHP, и при чём тут ваш любимый сайт

Страницы в интернете бывают двух видов. Первая лежит на сервере готовым файлом и показывается всем одинаково, как отпечатанная афиша. Вторая собирается на лету. Вы зашли в магазин, сервер выяснил, кто вы, что лежит в корзине и что есть на складе, и склеил страницу персонально для вас. Склеивает программа, а PHP — один из языков, на которых такие программы пишут.

Есть важная деталь. PHP выполняется на сервере, а не в вашем браузере. Вы получаете готовую страницу и самого PHP никогда не видите, как не видите повара, когда сидите в зале. Поэтому его ошибки — головная боль владельцев сайтов, а не пользователей.

Язык придумал в 1994 году программист Расмус Лердорф: сначала это был набор мелких инструментов, чтобы считать посетителей на его личном сайте-резюме. Название расшифровывалось как Personal Home Page. Сейчас оно означает «PHP: Hypertext Preprocessor», но суть не изменилась.

Инструмент для счётчика посещений сегодня держит на себе огромную часть интернета. По данным W3Techs, на PHP работает 69,3% сайтов, у которых удалось определить серверный язык. На нём построены WordPress, Joomla, Drupal, Magento и «1С-Битрикс», на нём работает «Википедия». Facebook начинал с PHP, а «ВКонтакте» долго писали на нём и даже сделали для него собственный компилятор.

Теперь главное. Уязвим сам язык, а не отдельная программа. Технический директор «Гарда WAF» Лука Сафонов объяснил это так: обновление WordPress, Drupal или Joomla ничего не даёт, менять нужно именно PHP. Это дефект двигателя, а не кузова, и новый салон тут не поможет. Под угрозой даже самый простой код на уязвимой версии.

Чем опасны именно эти ошибки

Обе позволяют удалённо выполнить на сервере чужой код без пароля и без аккаунта. Достаточно отправить специально составленный запрос. Кроме того, через них можно читать память рабочего процесса PHP и вытаскивать оттуда пароли, токены, API-ключи и сертификаты, причём чужие.

Затронуты практически все установки, которые обрабатывают веб-запросы, и версии вплоть до PHP 5.4, то есть более десяти лет выпусков.

Нашли ошибки с помощью ИИ. В исследовании участвовали Wiz Research, команда Calif и подразделение OpenAI. По версии Wiz, модели GPT-5.6 Sol и Gemini 4 Argon помогли превратить давние баги в рабочие эксплойты, и один исследователь за неделю сделал то, на что у сильной команды ушли бы месяцы. Лоуренс описала ситуацию без прикрас: компании соревнуются в обновлении систем с теми, кто взламывает с помощью ИИ, и в этом вся гонка.

Миллионы попыток

Данные Cloudflare выглядят так. За десять часов до публичного объявления сеть зафиксировала тысячи попыток взлома. Через 45 минут после него счёт пошёл на десятки тысяч, через два часа на сотни тысяч, а к утру четверга на миллионы. Глава компании Мэтью Принс написал об этом в X. Cloudflare ещё до выхода патча включила защитные правила для клиентов, и злоумышленники подстраивали нагрузку, чтобы их обойти. О массовой эксплуатации сообщила и Amazon.

Подтверждений крупных успешных взломов пока нет.

Кто выключил сайты

В Японии о приостановке части сервисов объявили брокер Nomura, банк Mitsubishi UFJ, авиакомпания ANA, East Japan Railway, пивоваренная Asahi и страховая Tokio Marine. Частично ограничили работу министерство финансов и метеорологическое агентство, а национальное налоговое ведомство отключило сервисы совсем. Японские власти и без того нервничают: по данным TrendAI, за девять месяцев этого года в стране зафиксировано больше киберинцидентов, чем за весь прошлый.

В Европе картина похожая. В Нидерландах ушли в офлайн портал госуслуг MijnOverheid, система цифровой идентификации DigiD и сайт парламента. Французская Orange приостановила часть сайтов и приложений на PHP в нескольких дочерних компаниях. Финская госкомпания Valtori отключила общедоступные веб-сервисы государства.

В Азии подошли иначе. Минпромышленности Китая призвало проверить системы, обновить PHP и при необходимости сменить учётные записи, пароли и ключи. Южная Корея перевела частный сектор на повышенный уровень кибербезопасности и включила экстренные меры. Tencent Cloud просила клиентов обновиться, но закрывать сайты не призывала.

Глава Microsoft Сатья Наделла сказал на мероприятии в Германии, что давно не видел ничего подобного, и назвал случившееся напоминанием: программы должны быть такими, чтобы их можно было безопасно поддерживать, пока системы усложняются.

Что в России

На российском рынке сбои были, но куда скромнее. «Битрикс24» временно ограничил часть функций облачного сервиса и вечером 21 октября восстановил работу. Хостинг Beget тоже предупреждал о временных ограничениях. По словам Сафонова, до выхода патчей работу приостановили многие сайты российских хостинг-провайдеров, а во второй половине дня те начали рассылать клиентам уведомления. Часть трафика в Белоруссии на время блокировали.

Владельцам коробочной «1С-Битрикс» компания посоветовала самим обновить PHP на своих серверах: облако чинят за клиента, а свой сервер — задача хозяина.

Что делать владельцам сайтов

Исправления вышли для четырёх веток: 8.5.12, 8.4.27, 8.3.36 и 8.2.35. Обновиться нужно и перезапустить серверные процессы, иначе старый код продолжит работать в памяти.

Хуже тем, у кого PHP 8.1 и старше: проект такие версии не поддерживает. Специалисты советуют спросить хостера про бэкпорты исправлений от поставщиков дистрибутивов. Тем, кто обновиться не может, рекомендуют временно закрыть доступ к приложению из интернета или вовсе отключить его. По данным хостера hoster.by, единственный пока известный путь атаки связан с механизмом session.upload_progress, который отслеживает загрузку файлов в сессиях, но другие не исключены. Исследователи watchTowr оценили число узлов под угрозой больше чем в 1,3 миллиона.

Обычному посетителю ничего ставить не нужно. Если сервис сообщит об утечке, пароль лучше сменить.

Глава отдела безопасности немецкой ассоциации Bitkom Феликс Куленкамп отметил, что крупные операторы в основном уже обновились, а вот сложным системам и мелким организациям нужно больше времени. Многие владельцы сайтов просто не следят за версией PHP, а если она настолько стара, что обновлений для неё нет, менять придётся всю систему.

В финской Valtori сообщили, что сбои вызваны не взломами и об активной эксплуатации ошибок им неизвестно. Сервисы возвращают постепенно: после обновлений системы нужно тщательно тестировать, и на это могут уйти дни, а то и недели.

Источники:
https://reuters.com
https://t-j.ru
https://vc.ru