Главное в материале
- Две уязвимости PHP с оценкой 9,2/10 позволяют выполнять код без авторизации; затронуты версии 5.4–8.5.11
- Патчи PHP 8.5.12, 8.4.27, 8.3.36 и 8.2.35 выпущены 21 октября; полных обходных мер нет
- Уязвимости нашли ИИ-инструменты (GPT-5.6 Sol у Calif, несколько инструментов у Wiz); Cloudflare сообщила об атаках после утечки деталей
Критические уязвимости в PHP
Исследователи обнаружили две критические уязвимости в языке программирования PHP, на котором работают миллионы сайтов, включая платформы WordPress, Drupal, Joomla и MediaWiki (ПО Википедии). По данным W3Techs, PHP используется примерно на 69% сайтов с известным серверным языком. Уязвимости получили идентификаторы CVE-2026-109618 и CVE-2026-109619; технический анализ Google Cloud даёт каждой критическую оценку 9,2 из 10. Обе связаны с обработкой памяти при определённых ошибках: одна касается состояния нехватки памяти, при котором внутренние данные запроса остаются частично инициализированными, другая — обращения к памяти после её освобождения. Отправив специально сконструированные запросы, злоумышленник может выполнить свой код на сервере без входа в систему, что позволяет красть данные, изменять содержимое сайтов или использовать сервер для атак на другие системы.
Масштаб проблемы
Компания Wiz сообщила, что уязвимости затрагивают версии PHP начиная с 5.4, выпущенной более десяти лет назад; Google Cloud указывает диапазон от PHP 5.4 до 8.5.11, и Cloudflare подтвердила уязвимость серверов на PHP 5.4 и новее. Это не означает, что скомпрометирован каждый сайт или что все конфигурации одинаково легко эксплуатируются: разработчики PHP заявили, что риску подвержены установки, обрабатывающие веб-запросы, а некоторые конфигурации особенно уязвимы. Поскольку уязвимы сам язык, обновление плагинов и тем WordPress проблему не решает — необходимо обновлять сам PHP.
Реакция и патчи
Разработчики PHP выпустили четыре исправленные версии в среду: PHP 8.5.12, 8.4.27, 8.3.36 и 8.2.35, призвав всех пользователей обновиться немедленно. Они предупредили, что «полных мер смягчения нет», то есть временные обходные решения не заменяют установку обновления. Cloudflare сообщила, что развернула правила веб-аппликационного файрвола до публичного раскрытия информации. Агентства США, Британии, ЕС и Австралии выпустили срочные предупреждения: АНБ США посоветовала обновить системы или временно отключить те, что нельзя обновить сразу; британский NCSC дал аналогичные рекомендации, а органы ЕС призвали к немедленному патчированию с приоритетом для систем, доступных из интернета. Некоторые организации на всякий случай временно отключали сайты. Новозеландский NCSC в четверг сообщил, что знает о признаках активной эксплуатации.
Роль ИИ и утечка деталей
Уязвимости нашли исследователи компаний Calif и Wiz с помощью ИИ. OpenAI сообщила, что Calif обнаружила критическую уязвимость с помощью модели GPT-5.6 Sol в рамках инициативы по безопасности, а Wiz независимо нашла уязвимости, используя несколько ИИ-инструментов. Сами ошибки в коде существовали годами, но демонстрация реальной атаки требовала детальной технической работы: по данным Wiz, один исследователь выполнил её примерно за неделю, тогда как раньше это могло занять у специализированной команды месяцы. OpenAI назвала находку «одним из самых значимых вопросов безопасности за последнее время». Исследователи и разработчики PHP несколько недель координировались в частном порядке, но детали утекли незадолго до запланированного объявления. Cloudflare сообщила, что после этого зафиксировала атакующий трафик против своих клиентов и изменение тактик атакующих в попытках обойти защиту.
Риски и рекомендации
Эксперты предупреждают, что те же ИИ-инструменты, которые помогли защитникам, могут ускорить и удешевить эксплуатацию уязвимостей злоумышленниками: после раскрытия информации ИИ может помочь быстрее писать эксплойты и адаптировать атаки, сокращая так называемое окно защитника — период между обнаружением уязвимости и её массовой эксплуатацией. Организациям рекомендовано выявить установки PHP, немедленно обновить их до исправленных версий, приоритизировать системы, открытые в интернет, и отслеживать признаки компрометации; при невозможности быстрого патчирования — временно отключить уязвимые сервисы. Обычным пользователям напрямую исправить уязвимость нельзя — ответственность лежит на операторах сайтов и хостинг-провайдерах; им советуют следить за уведомлениями сервисов, менять пароли по соответствующим указаниям и остерегаться фишинга, использующего резонанс вокруг инцидента.
