Исследователи подтвердили успешную эксплуатацию двух критических уязвимостей PHP2Shell, позволяющих удалённо выполнять команды на уязвимых серверах без предварительной авторизации. Ранее специалисты фиксировали попытки атак, однако не могли подтвердить, что злоумышленникам удалось добиться выполнения вредоносного кода.

Выбираем лучшие игровые ноутбуки на российском рынке (вторая половина 2026 года)

Гид по выбору складного смартфона в 2026 году

Компьютер месяца, спецвыпуск: выбираем мини-ПК для работы и развлечений в эпоху дефицита чипов памяти

Мастерская локальных ИИ: салат картофельный с Qwen3.8

Топ-10 смартфонов до 20 тысяч рублей (2026 год)

Обзор HONOR Pad X9b Max: универсальный большой планшет с антибликовым экраном

Групповое тестирование 46 видеокарт в The Witcher 3: Wild Hunt — Remastered

Лучший процессор под DDR4 в 2026 году: AM4 против LGA 1700

Сравнительный тест камер флагманских смартфонов (2026): итоги

Источник изображения: Ben Griffiths/Unsplash

Подтверждение получил Адель Карими (Adel Karimi), руководитель направления обнаружения угроз и реагирования на инциденты в Perplexity. Его серверы-ловушки зафиксировали успешную атаку на систему с Apache mod_php и PHP 8.4.26. В ходе неё злоумышленник получил около 800 КиБ (кибибайт) данных из памяти процесса, а затем использовал извлечённый адрес функции для подготовки следующего этапа атаки.

После отправки последнего байта соответствующего запроса сервер выполнил команду оболочки примерно через 1,6 мс. Результаты также подтвердил исследователь компании Expel Маркус Хатчинс (Marcus Hutchins), который отслеживал сообщения об успешной эксплуатации PHP2Shell.

Уязвимости CVE-2026-109618 и CVE-2026-109619, объединённые под названием PHP2Shell, были исправлены командой разработчиков PHP 21 октября. До выхода обновлений сведения об уязвимостях и некоторые демонстрационные эксплойты появились в открытом доступе, однако разработчики утверждали, что опубликованные варианты не работали.

Компании Cloudflare, Hadrian, watchTowr, Previdian и Patchstack также сообщали о попытках атак, которые на тот момент не приводили к успешной эксплуатации. Специалисты Amazon Threat Intelligence обнаружили первые попытки атак ещё 17 октября — за четыре дня до выпуска исправлений.

PHP используется примерно на 70 % сайтов в интернете. По оценкам VirusTotal, в открытом доступе находятся более 5,1 млн хостов с PHP, причём около 3,8 млн из них имеют как минимум один порт, доступный для потенциальных атак. Поэтому на текущий момент успешная эксплуатация PHP2Shell представляет угрозу для значительного числа серверов, работающих на этой технологии.

За последние несколько дней обнаружены уязвимости ряда крупнейших систем и сервисов, обеспечивающих работу значительной части интернета. В обозримом будущем может произойти некий инцидент радикально иного масштаба, предупреждают эксперты в области кибербезопасности, но к чему именно готовиться, их версии расходятся.

Мастерская локальных ИИ: салат картофельный с Qwen3.8

Сравнительный тест камер флагманских смартфонов (2026): итоги

Выбираем лучшие игровые ноутбуки на российском рынке (вторая половина 2026 года)

Обзор HONOR Pad X9b Max: универсальный большой планшет с антибликовым экраном

Гид по выбору складного смартфона в 2026 году

Групповое тестирование 46 видеокарт в The Witcher 3: Wild Hunt — Remastered

Компьютер месяца, спецвыпуск: выбираем мини-ПК для работы и развлечений в эпоху дефицита чипов памяти

Лучший процессор под DDR4 в 2026 году: AM4 против LGA 1700

Топ-10 смартфонов до 20 тысяч рублей (2026 год)

Источник изображения: Growtika / unsplash.com

Последние дни действительно выдались «урожайными» в плане обнаружения крупных уязвимостей. Инциденты затронули индийский удостоверяющий центр eMudhra, средства Node.js, платформу для разработчиков GitLab, ПО для медиасерверов Plex, облачного провайдера Railway и платформу ИИ-агентов для написания кода OpenCode. Больше всех внимание привлекла пара уязвимостей PHP2Shell в языке PHP, лежащей в основе современного (и не очень) интернета — их с помощью искусственного интеллекта обнаружили эксперты Wiz, Calif и OpenAI.

Организация PHP Foundation раскрыла информацию об уязвимостях и объявила о выходе устраняющих их обновлений, но избежать атак не удалось, потому что установка этих обновлений — задача не всегда простая, и решить её быстро удаётся не во всех случаях. Атаки начались, обратили внимание в Cloudflare, за десять часов до того, как сведения были обнародованы. «Через 45 минут после объявления их число возросло до десятков тысяч, в течение двух часов — до сотен тысяч, а сейчас речь идёт уже о миллионах», — сообщили в компании.

События развиваются стремительно, и даже опытные эксперты не в силах в полной мере осознать происходящее, предугадать дальнейшее развитие событий или понять, к чему всё это приведёт. Очевидно, что ИИ в корне преобразил сферу кибератак и область защиты от них. Причина в том, что значительная часть ПО, на котором работает интернет и потребительские устройства, уязвима, устарела или содержит изъяны, которые люди предпочитали не замечать. Это не значит, что все выявленные ИИ уязвимости были очевидными или тривиальными, но он позволяет находить их гораздо быстрее, чем человек.

ИИ сделал метод перебора (brute force) в масштабах интернета очень простой задачей. Приходит понимание, что некоторые «замки» не только легко вскрыть — порой «двери» распахнуты настежь, а в «стене» зияет огромная дыра. Для проведения атаки с помощью ИИ зачастую не требуется практически никаких специальных знаний. Задачу упрощают открытые модели, прошедшие процесс аблитерации — снятия защитных барьеров, не позволявших им отвечать на неэтичные вопросы или выполнять недопустимые действия. ИИ помогает найти уязвимости, но столь же эффективен он и как оружие в руках злоумышленников.

Источник изображения: Ben Griffiths / unsplash.com

В области кибербезопасности традиционно приемлемым был сценарий, при котором некий исследователь обнаруживает уязвимость, этично сообщает о ней ответственной за продукт компании, а та её устраняет. С развитием ИИ сроки на реализацию этого сценария значительно сокращаются: разработчики, возможно, стали выпускать обновления безопасности быстрее, но едва ли эти обновления устанавливаются чаще, чем раньше. ИИ сделал ситуацию непредсказуемой: специализирующаяся на кибербезопасности компания Chainguard опубликовала обновления PHP за несколько часов до официального анонса — их анализ мог дать хакерам фору. В компании ответили, что нашли эти же уязвимости самостоятельно, просто отправив соответствующий запрос одной из передовых ИИ-моделей.

После обнаружения PHP2Shell некоторые эксперты уже окрестили настоящий период «чёрным октябрём». Власти стран мира настоятельно рекомендуют владельцам сайтов оперативно устанавливать обновления; государственные ресурсы уходят в офлайн на период обновления — так же поступают администраторы многих популярных сайтов вплоть до отдельных сервисов Wikimedia и Archive.org. Есть версия, что могут навсегда исчезнуть некоторые исторические сайты — часть из них невозможно обновить, или никто не планировал этого делать, а часть из них будут взломаны и навсегда прекратят своё существование. Это грозит масштабным «гниением ссылок» и утратой значительного пласта цифровой истории.

Угроза PHP2Shell существует, она вполне реальна, но и переоценивать степень её угрозы тоже не следует — инциденты с уязвимостями Log4j или Heartbleed представляются более масштабными. Некоторые ресурсы публиковали, по их заявлениям, готовые эксплойты, но не все они оказывались работоспособными — есть мнение, что простого рецепта не существует вовсе. Эксплойт в том или ином виде способен сгенерировать ИИ, но не у каждого пользователя чат-бота хватит навыков, чтобы его должным образом развернуть — может потребоваться серьёзная подготовка и опыт работы в области кибербезопасности.

К чему всё это приведёт в долгосрочной перспективе, ясности нет: за час, неделю, год или десять лет обстановка может измениться радикально. ИИ значительно упрощает поиск и эксплуатацию уязвимостей, и человечеству, очевидно, ещё предстоит узнать, насколько в действительности уязвим интернет.

Технологические гиганты Google, OpenAI и Amazon подключились к работе по анализу уязвимостей, выявленных в языке PHP, к обнаружению атак и защите затронутых систем. Специализирующиеся на вопросах кибербезопасности компании уже начали сообщать о попытках злоумышленников воспользоваться ситуацией.

Обзор HONOR Pad X9b Max: универсальный большой планшет с антибликовым экраном

Топ-10 смартфонов до 20 тысяч рублей (2026 год)

Выбираем лучшие игровые ноутбуки на российском рынке (вторая половина 2026 года)

Гид по выбору складного смартфона в 2026 году

Лучший процессор под DDR4 в 2026 году: AM4 против LGA 1700

Групповое тестирование 46 видеокарт в The Witcher 3: Wild Hunt — Remastered

Сравнительный тест камер флагманских смартфонов (2026): итоги

Компьютер месяца, спецвыпуск: выбираем мини-ПК для работы и развлечений в эпоху дефицита чипов памяти

Мастерская локальных ИИ: салат картофельный с Qwen3.8

Источник изображения: Ben Griffiths / unsplash.com

Две обнаруженные уязвимости, получившие общее название PHP2Shell, позволяют удалённо выполнять на серверах произвольный код, что создаёт угрозу утечки конфиденциальных данных. Агентство национальной безопасности США настоятельно рекомендовало использующим PHP организациям подготовить обновления безопасности для устранения данных уязвимостей; если немедленное обновление невозможно, в ведомстве предложили вообще отключить соответствующие системы, пока уязвимости не будут полностью устранены. Аналогичные предупреждения выпустили профильные ведомства в Сингапуре, Великобритании, Австралии, Канаде и Европейском союзе.

Попытки эксплуатировать данные уязвимости фиксировались ещё до их публичного раскрытия, сообщили в Amazon — такие попытки ещё 17 октября помогла обнаружить система MadPot, предназначенная для мониторинга подозрительной активности в интернет-инфраструктуре. Специалисты Google при помощи моделей искусственного интеллекта произвели поиск и анализ уязвимостей; нейросеть Gemini помогла оценить их серьёзность, смоделировать возможные атаки и проверить эффективность выпущенных патчей безопасности. В OpenAI заявили, что критические уязвимости в PHP помогли выявить исследователи, работающие с её моделями ИИ, — этими возможностями могут воспользоваться и киберпреступники, предупредили в компании.

О попытках эксплуатировать уязвимости за день до их официального раскрытия сообщили в Cloudflare. Чтобы пресечь такие попытки в дальнейшем, компания активировала межсетевые экраны для веб-приложений. Специализирующаяся на вопросах кибербезопасности компания VulnCheck развернула выступающие приманками специально созданные уязвимые системы и зафиксировала подключения к ним с IP-адресов из Канады и Нидерландов, а также минимум одну попытку эксплуатировать одну из этих уязвимостей, которая позволяет выполнять произвольный код без аутентификации — её производили с зарегистрированного в Китае IP-адреса. Злоумышленник попытался считать данные, но такого пути не существовало, и сервер вернул ошибку 404.

Поставщик решений в сфере безопасности Patchstack сообщил, что вскоре после выхода обновления PHP системы телеметрии показали лишь попытки зондирования — прямых доказательств взлома обнаружено не было. В качестве меры предосторожности некоторые сайты временно приостановили свою работу. Среди них оказались сервис социальных закладок Pinboard, ряд правительственных ресурсов Нидерландов и некоторые службы, связанные с «Википедией».

Разработчики PHP выпустили экстренные обновления безопасности, устраняющие две критические уязвимости в языке программирования, который используется примерно на 70 % сайтов в интернете. Проблема уже привела к временному отключению ряда государственных ресурсов и других сервисов в Европе. При этом владельцы систем на базе устаревших версий PHP оказались в особенно сложном положении: официальные исправления для них не предусмотрены, поэтому для защиты от потенциальных атак может потребоваться обновление языка или временное отключение серверов от интернета.

Топ-10 смартфонов до 20 тысяч рублей (2026 год)

Сравнительный тест камер флагманских смартфонов (2026): итоги

Выбираем лучшие игровые ноутбуки на российском рынке (вторая половина 2026 года)

Лучший процессор под DDR4 в 2026 году: AM4 против LGA 1700

Гид по выбору складного смартфона в 2026 году

Групповое тестирование 46 видеокарт в The Witcher 3: Wild Hunt — Remastered

Мастерская локальных ИИ: салат картофельный с Qwen3.8

Обзор HONOR Pad X9b Max: универсальный большой планшет с антибликовым экраном

Компьютер месяца, спецвыпуск: выбираем мини-ПК для работы и развлечений в эпоху дефицита чипов памяти

Источник изображения: Unsplash, Andrew

Уязвимости получили оценку 9,2 балла из 10 по шкале CVSS 4.0 и идентификаторы CVE-2026-109618 и CVE-2026-109619. Они позволяют при определённых условиях удалённо выполнять произвольный код на сервере без предварительной аутентификации. В результате злоумышленники могут получить доступ к файлам и базам данных, изменить содержимое сайтов, похитить информацию или использовать скомпрометированные системы для дальнейших атак.

Проблемы, получившие название PHP2Shell, находятся в самом движке PHP, а не в конкретных веб-приложениях. Поэтому под угрозой могут оказаться сайты на базе WordPress, Drupal, Joomla и других платформ, даже если их собственный код написан корректно. В частности, исследователи продемонстрировали возможность удалённого выполнения кода на серверах с актуальными версиями этих систем.

Уязвимости связаны с обработкой критических ошибок и нехватки памяти. В определённых условиях PHP мог оставлять внутренние данные, указывающие на уже освобождённую область памяти, а затем использовать их повторно. Это создавало условия для повреждения памяти, утечки информации и выполнения произвольного кода. На серверах Apache с модулем mod_php эксплуатация одной из уязвимостей возможна ещё до запуска кода самого веб-приложения. Другие конфигурации PHP также подвержены риску, хотя условия проведения атаки могут отличаться.

По данным исследователей Wiz, уязвимости затрагивают версии PHP начиная с 5.4. Разработчики выпустили исправления для поддерживаемых веток PHP 8.2, 8.3, 8.4 и 8.5. Обновления получили номера 8.2.35, 8.3.36, 8.4.27 и 8.5.12. Для более старых веток ситуация сложнее: готовые исправления и возможность их установки зависят от поставщиков операционных систем и программного обеспечения. Поэтому администраторам необходимо проверить рекомендации своего поставщика, а при отсутствии исправления — рассмотреть переход на поддерживаемую версию PHP. Такая миграция может потребовать дополнительной проверки совместимости и доработки устаревших сайтов.

Масштаб проблемы может быть огромным. По данным W3Techs, PHP используется примерно на 70 % сайтов, для которых известен язык серверной разработки. При этом значительная часть веб-инфраструктуры работает на давно не обновлявшемся программном обеспечении. Такие ресурсы могут оставаться уязвимыми даже после выхода исправлений, если их владельцы не имеют возможности оперативно обновить серверы или поддерживать совместимость со свежими версиями PHP.

На ситуацию повлияла и история обнаружения уязвимостей. По данным PHP Foundation, одна из проблем была выявлена ещё в 2024 году, однако разработка исправления затянулась из-за сложности устранения ошибки без нарушения совместимости и ухудшения производительности. В августе 2026 года исследователи продемонстрировали практическую возможность эксплуатации уязвимости, после чего её устранение стало приоритетной задачей.

В исследовании существенную роль сыграл искусственный интеллект. Команда Wiz сообщила об использовании моделей Gemini 4 Argon и GPT-5.6 Sol для поиска и анализа ошибок, а также разработки способов их эксплуатации. ИИ помог превратить сложные ошибки, существовавшие в коде годами, в работающие эксплойты. Это вызывает опасения у специалистов по кибербезопасности: аналогичные инструменты могут использовать и злоумышленники, которым теперь требуется меньше времени и экспертных знаний для поиска уязвимостей и подготовки атак.

Публикация информации об уязвимостях также пошла не по первоначальному плану. Релиз исправлений был запланирован на 22 октября, но после преждевременного распространения сведений о проблеме разработчики перенесли выпуск на 21 октября. Компания Cloudflare сообщила, что заранее развернула защитные правила для своих клиентов и зафиксировала попытки атаковать их системы, в том числе с изменёнными вредоносными запросами, которые могли помочь обойти средства защиты.

На фоне угрозы некоторые организации решили временно отключить доступ к своим системам из интернета. По данным The Guardian, меры затронули сайты государственных учреждений в Нидерландах, Германии, Бельгии, Финляндии и Франции. В частности, во Франции были недоступны некоторые ресурсы местных властей и сайт префектуры полиции Парижа, а в Нидерландах — национальная служба цифровой идентификации и сайт национального центра кибербезопасности. Wikimedia Foundation также приостановила работу части своих систем до установки исправлений.

Национальные службы кибербезопасности рекомендовали организациям немедленно установить обновления. Если это невозможно, следует изолировать доступные из интернета приложения от публичных сетей или временно отключить их. Национальный центр кибербезопасности Великобритании также призвал проверить системы на наличие возможных механизмов закрепления злоумышленников, которые могли быть установлены в случае успешной атаки.

Разработчик мобильной платформы GrapheneOS объявил о временном ограничении доступа к своему форуму, чтобы снизить риск эксплуатации уязвимостей. Специалисты предупреждают, что после публикации исправлений злоумышленники могут быстрее разрабатывать эксплойты, изучая изменения в коде. Поэтому администраторам необходимо без промедления проверить используемые версии PHP, установить доступные обновления и убедиться, что серверы не были скомпрометированы.

Ситуация в очередной раз продемонстрировала проблему устаревшей интернет-инфраструктуры. Даже после выпуска исправлений часть сайтов может оставаться без защиты неделями или месяцами из-за отсутствия обслуживания, несовместимости с новыми версиями программного обеспечения или невозможности оперативно обновить серверы. В таких случаях временное отключение публичного доступа может оказаться безопаснее, чем продолжение работы уязвимой системы.