По всему миру блокируют сайты из-за критической уязвимости. Что произошло
. На языке PHP работают почти 70% всех сайтов Всемирной паутиныПо всему миру блокируют сайты из-за критической уязвимости в языке PHP
Из-за двух критических уязвимостей в языке программирования PHP по всему миру с 21 октября начали отключать сайты госорганов, больниц и учебных заведений. Выявленные уязвимости позволяют злоумышленникам удаленно выполнять команды на сервере без авторизации, что грозит кражей данных и захватом контроля над сайтом.
Что такое PHP и почему он важен
PHP — язык программирования общего назначения с открытым исходным кодом, созданный специально для веб-разработки. Ему уже больше 30 лет, и разработчики встраивают его прямо в HTML-разметку. Код отделяют от разметки тегами, которые включают и выключают режим обработки PHP.
PHP отвечает за серверную часть сайтов: он обрабатывает данные, проверяет учетные данные пользователей и проводит платежи. По оценкам, около 70% всех сайтов в мире работают на PHP или на его приложениях. На PHP построены такие системы, как WordPress, «Википедия», Slack, большая часть Facebook (принадлежит компании Meta, которая признана в России экстремистской и запрещена).
По данным аналитического сервиса W3Techs — 90,8% русскоязычных сайтов работают на PHP (в мире — 69,3%).
Из-за такой распространенности уязвимости под угрозой огромное число сайтов и данных. По данным PHP Foundation, некоммерческой организации, которая поддерживает код PHP, проблемы «связаны с теми частями PHP, которые затрагиваются практически в каждом запросе: управление памятью и обработка ошибок».
Речь идет о двух уязвимостях CVE-2026-109618 и CVE-2026-109619, связанных с удаленным выполнением кода: «Их центральное положение в PHP — вот что сделало обе уязвимости настолько серьезными, а также затруднило их устранение без нарушения совместимости, снижения производительности или внесения изменений в обширную экосистему сторонних расширений».
По данным Агентства национальной безопасности США, уязвимости приводят к повреждению памяти веб-сайта посредством запроса, который затем может быть использован для проведения атаки и «обеспечить прямой доступ к файловой системе или базе данных сервера».
Как нашли уязвимость и почему отключают сайты
Раньше исследователи сами проверяли системы и исправляли ошибки по мере их обнаружения или уже после атаки. Теперь поиск потенциальных проблем поручен искусственному интеллекту. PHP Foundation сотрудничал с передовой моделью Anthropic для сканирования своего кода, а также включил PHP в программу OpenAI Patch the Planet. В итоге одну из двух критических уязвимостей обнаружила компания Calif с помощью модели искусственного интеллекта GPT-5.6 Sol в рамках инициативы Patch the Planet.
Независимо от этого компания Wiz (принадлежит Alphabet) нашла обе уязвимости и сообщила о них разработчикам. Для этого Wiz использовала свой автономный ИИ-инструмент Wiz Atlas, а также модель Google Gemini 4 Argon. По словам Wiz, ошибки скрывались в кодовой базе PHP больше десяти лет.
Как отмечает OpenAI, прежде чем информация об уязвимостях была обнародована, в течение двух месяцев (с августа) компания, исследователи, разработчики и специалисты по кибербезопасности активно работали над устранением ошибок и разработкой защитных мер.
В среду, 21 октября, разработчики выпустили патч. Агентство национальной безопасности США рекомендовало всем организациям отключить системы, если они не могут сразу поставить обновление. Национальный центр кибербезопасности Великобритании добавил, что организациям стоит проверить наличие бэкдоров, установленных злоумышленниками. Именно поэтому сайты и не работали примерно сутки: администраторы либо срочно ставили обновления, либо отключали системы. Многие ресурсы быстро вернулись в строй.
«Отключение сервиса на несколько часов обходится гораздо дешевле, чем компрометация сервера», — отмечают аналитики.
Отключения затронули многие страны. В Великобритании не работали сайты муниципальных советов Эдинбурга, Бристоля и Оксфорда. Во Франции вышли из строя сайты местных властей, в том числе префектуры полиции Парижа. В Нидерландах недоступными оказались национальная служба цифровой идентификации, сайт Палаты представителей и сайт Национального центра кибербезопасности. Фонд «Викимедиа» в среду тоже отключил несколько систем.
Чего ждать дальше
Изначально информацию об уязвимостях хотели обнародовать 22 октября, чтобы владельцы сайтов успели заранее подготовиться и обновить системы. Однако, по данным PHP Foundation, сведения об уязвимостях появились на форумах и в соцсетях во вторник (20 октября), и фонд решил опубликовать их раньше срока — 21 октября. Фонд отметил, что ряд компаний по кибербезопасности нарушили эмбарго после утечки.
Так, Amazon нашла следы атаки еще до публикации официального заявления: глава службы безопасности компании СиДжей Мозес сообщил, что 17 октября, то есть за четыре дня до публичного раскрытия, его команда заметила попытку взлома одной из систем-приманок Amazon. Атака пришла с анонимного IP-адреса:
«Несмотря на то что информация об уязвимости была засекречена, атака на приманку с анонимного IP-адреса позволяет предположить, что действия были совершены злоумышленником, хотя остается неясным, как злоумышленник получил информацию об эксплойте до ее раскрытия».
Проще говоря, кто-то попытался воспользоваться уязвимостью, хотя публично никакой информации о ней еще не было.
Кроме того, в день, когда эмбарго должно было закончиться, но еще не закончилось, Amazon нашла несколько так называемых эксплойтов для подтверждения концепции. Это безвредные демонстрации, которые показывают, что уязвимость существует, но ее не используют для настоящей атаки.
Теперь, когда уязвимость стала публичной, ею начали активно пользоваться злоумышленники. Хакеры спешат взломать сайты раньше, чем их владельцы поставят обновление.
При этом профессор Сиги Гуд из Австралийского национального университета считает, что главная опасность исходит не от сайтов, которые отключили, а от тех, которые продолжают работать: «Больше опасений вызывают те сайты, которые сегодня работают. Пользователям следует быть осторожными, так как они являются очевидной мишенью».
Затронет ли ситуация Россию
Как отметил в разговоре с РБК руководитель центра разработки больших языковых моделей MWS AI, входящей в МТС Web Services, Валентин Малых, под угрозой в России могут оказаться десятки тысяч сайтов. Он напомнил, что PHP используется для создания сайтов, в том числе на системах управления содержимым «1С-Битрикс».
«Основная проблема заключается в том, что, как правило, на PHP уязвимости закрываются очень долго», — сказал эксперт.
Для защиты необходимо обновить программу, которая выполняет PHP-код на сервере. По словам Малых, сложность этой задачи зависит от того, как устроен конкретный ресурс. «Это может быть не так просто для самописного сайта, а для блог-платформ это напрямую зависит от владельцев платформ. Будем надеяться, что они оперативно отреагируют», — отметил он.
Бизнес-партнер по инновационному развитию компании «Гарда», технический директор «Гарда WAF» Лука Сафонов рассказал, что в России огромное количество сайтов и приложений написаны на PHP, поэтому уязвимость потенциально могла затронуть десятки, а то и сотни тысяч ресурсов Рунета.
«Под угрозой даже самый простой код на уязвимой версии», — пояснил эксперт.
По словам Сафонова, одна из ошибок возникает при нехватке памяти и позволяет выполнить код на сервере. Другая связана с сохранением состояния между запросами и может привести к утечке данных из памяти. Среди потенциально раскрываемых сведений он назвал пароли, токены сессий, ключи доступа и сертификаты.
Сафонов ожидает «серьезной волны атак» и призвал незамедлительно обновить PHP. После установки исправлений он рекомендовал перезапустить веб-сервер и фоновые обработчики, чтобы в памяти не оставался старый код. Владельцам серверов, доступных из интернета до выхода обновления, эксперт также посоветовал проверить их на признаки взлома и сменить пароли, ключи и токены. Если установить исправления пока невозможно, он предложил временно ограничить доступ к ресурсу или использовать WAF.
