Широко распространенный недостаток PHP может привести к сбоям в работе многих сайтов сегодня
Ожидайте, что сегодня довольно много веб-сайтов будут отображать страницы с ошибками: почти 70 процентов веб-сайтов необходимо обновить свое основное программное обеспечение, чтобы исправить пару уязвимостей, которые позволяют злоумышленнику получить полный контроль над затронутыми серверами. Эксперты говорят, что существуют работающие средства устранения этих недостатков, и что эти критические ошибки уже широко используются. Изображение: Shutterstock.com, Сашкин. Рассматриваемые недостатки присутствуют в PHP, языке программирования, на котором работают сайты, работающие в большом количестве систем веб-публикации, включая Drupal, Magento, Joomla и WordPress. Ранее сегодня PHP выпустил экстренное обновление безопасности, исправляющее две критические ошибки, которые могут позволить злоумышленнику выполнить выбранный им код на уязвимом сервере. Агентство Reuters сообщает, что правительственные веб-сайты в Европе и других странах сегодня отключились после того, как были обнаружены уязвимости PHP. Cloudflare заявила, что уже обнаружила некоторое использование этой уязвимости и что в 3:02 утра (UTC) она внедрила правила брандмауэра веб-приложений для защиты веб-сайтов от атакующего трафика, стремящегося использовать ошибки, которые могут вызвать отказ в обслуживании, удаленное выполнение кода и раскрытие данных. OpenAI, которая участвовала в исследовании уязвимостей и распространении информации, заявила, что «учитывая серьезность этих недостатков и широкое использование PHP, мы считаем это одной из самых серьезных проблем безопасности за последнее время». Censys, компания, которая отслеживает технологии, используемые интернет-хостами, сообщила, что недавнее сканирование выявило около 2,58 миллиона хостов, подключенных к Интернету, и 54,9 миллиона веб-ресурсов, использующих PHP. Эксперты по безопасности Wiz заявили, что каждая версия PHP, выпущенная за последнее десятилетие, подвержена как минимум одной из этих уязвимостей [полное раскрытие информации: Wiz является рекламодателем в этом блоге]. «Эти результаты входят в число самых серьезных уязвимостей, обнаруженных в PHP и, возможно, в истории программного обеспечения», — говорится в сообщении в блоге, опубликованном сегодня командой исследователей из Wiz, которая была одной из нескольких организаций, которым приписывают обнаружение уязвимостей. "Основные недостатки присутствовали на протяжении десятилетий, но демонстрация их возможности использования требовала исключительно сложной цепочки шагов, находящейся на грани того, чего исследователи-люди могли практически достичь. Модели Frontier AI существенно снизили этот барьер, превратив давнюю ошибку в эксплойт". Исследователи Wiz говорят, что, скорее всего, уязвимости PHP будут массово использоваться для установки веб-бэкдоров или «веб-оболочек», которые дают злоумышленникам веб-панель, позволяющую им удаленно управлять зараженными сайтами. Виз сказал, что до того, как ошибки PHP были публично раскрыты, компания работала с командой PHP, Калифом и OpenAI, чтобы оценить размер проблемы и координировать проверку и раскрытие исправлений. Уязвимости нулевого дня PHP отслеживаются по номерам CVE, CVE-2026-109618 и CVE-2026-109619, и они затрагивают все веб-серверы, работающие под управлением PHP 5.4 или более поздней версии. Ошибки исправлены в PHP 8.5.12, 8.4.27, 8.3.36 и 8.2.35. По словам Wiz, PHP настолько глубоко встроен во многие веб-приложения, что мы, вероятно, увидим, как организации будут пытаться исправить эти уязвимости в течение некоторого времени, сравнивая эту пару уязвимостей PHP со слабостью Log4Shell, которая возникла в 2021 году — широко распространенная, серьезная ошибка безопасности в Log4j, популярной платформе ведения журналов Java. «Уязвимость ядра PHP выходит далеко за рамки одного приложения», — пишут исследователи Wiz. "PHP работает в облаках, хостинг-провайдерах, сетях доставки контента и миллионах независимо управляемых серверов. Чтобы снизить уровень воздействия до того, как технические детали станут достоянием общественности, требуется скоординированная работа во всей этой экосистеме". Центр SANS Internet Storm следит за основными программными платформами, которые выпускают обновления для устранения этих недостатков PHP. Например, Ubuntu только что выпустила обновленные пакеты PHP. Чтобы получить более подробное техническое описание этих уязвимостей и рассказать о сроках обнаружения этих ошибок в стиле комиксов, прочтите этот пост от Калифорнии, еще одной технологической компании, которой приписывают обнаружение недостатков PHP. Это быстро развивающаяся история. Здесь будут отмечаться обновления с отметками времени. Обновление, 14:30 по восточному времени: добавьте цифры из Censys и ссылку на отчет Калифа. Запись опубликована Среда, 21 октября 2026 г., 11:26.