Обнаруженные с помощью искусственного интеллекта уязвимости в языке программирования PHP поставили под угрозу сайты государственных ведомств и компаний по всему миру.
В России Национальный координационный центр по компьютерным инцидентам при ФСБ предписал владельцам критической инфраструктуры рассмотреть ограничение доступа к уязвимым серверам вплоть до отключения, если быстро установить обновления невозможно.
PHP — язык программирования, на котором работает серверная часть множества сайтов. Две ошибки в его устройстве при определённых условиях позволяют постороннему человеку запускать команды на сервере без пароля. Последствия могут включать захват сайта и доступ к данным. Разработчики выпустили исправления 21 октября и потребовали срочно обновиться. Одного обновления системы управления сайтом недостаточно — исправления нужны самому PHP.
Русскоязычный интернет особенно зависит от этой технологии. По данным W3Techs на 22 октября, PHP используют 90,8% русскоязычных сайтов, для которых удалось определить серверный язык, против примерно 69,3% в общемировом масштабе.
Масштаб проблемы объясняется общей программной основой: одна ошибка способна затронуть множество независимых сервисов. Власти Нидерландов подтвердили профилактическое отключение ряда государственных сайтов. Европейское агентство ENISA и американское АНБ рекомендовали изолировать уязвимые системы, если немедленное обновление невозможно.
PHP Foundation признала, что первые признаки одной из проблем обнаружили ещё в 2024 году. Исправление затянулось из-за сложности изменений, нехватки ресурсов и внутренних процедур. Позднейшие исследования с применением ИИ помогли установить реальную опасность ошибки и сделали её устранение первоочередной задачей.
Cloudflare сообщила, что зафиксировала запросы, направленные на эксплуатацию уязвимостей PHP. Злоумышленники меняли содержимое этих запросов, пытаясь обойти защитные фильтры компании. Это означает, что речь идёт об атаках на работающие сайты. При этом Cloudflare подчёркивает: по одному входящему запросу не всегда можно понять, сработала ли атака. Для оценки результата нужны дополнительные сведения, в том числе ответ сервера.
Один сервер может получить множество повторных запросов. Часть заблокирует защитный экран, другие попадут на уже обновлённую систему или не сработают из-за особенностей её настройки. Даже аварийное завершение программы ещё не доказывает, что нападавший получил возможность выполнять свои команды. Подтверждение взлома требует проверки самого сервера: журналов событий, изменений файлов, запущенных процессов и других следов вмешательства.
Механизм атаки связан с тем, как PHP распоряжается оперативной памятью. Когда посетитель открывает страницу или отправляет форму, сервер принимает запрос и выделяет память для его обработки. Затем освобождает её. Обнаруженные ошибки нарушают этот порядок: при определённых сбоях PHP продолжает обращаться к данным, которые ещё не подготовлены либо уже освобождены.
Первая уязвимость, CVE-2026-109618, возникает при нехватке памяти в определённый момент обработки запроса. Работа прерывается, когда внутренние структуры PHP ещё заполнены не полностью. При последующей очистке программа может принять эти незавершённые данные за корректные. В некоторых конфигурациях исследователи продемонстрировали выполнение постороннего кода ещё до запуска кода самого сайта — поэтому проверка пароля в приложении не успевает защитить сервер.
Вторая уязвимость, CVE-2026-109619, связана с обращением к уже освобождённой памяти. После критической ошибки PHP может сохранить устаревшую ссылку на данные предыдущего запроса. Когда тот же рабочий процесс обслуживает следующий запрос, он обращается по этой ссылке, хотя прежних данных там уже нет. Исследователи подтвердили аварийное завершение процесса и продемонстрировали возможность выполнения постороннего кода в реальном приложении. Успешность конкретной атаки зависит от условий на сервере.
Для нападения используется специально подготовленный веб-запрос. Пользователю сайта при этом не обязательно открывать подозрительное письмо, скачивать файл или сообщать пароль: атакующий обращается непосредственно к серверу. Возможность выполнить код обычно даёт ему права того процесса, который обслуживает сайт. В зависимости от настроек этого может хватить для чтения конфигурационных файлов, получения доступа к базе данных или изменения страниц.
Для посетителей последствия могут выражаться в краже информации или появлении подменённых страниц по привычному адресу. HTTPS защищает передачу данных, но сам по себе не устраняет уязвимость программы на сервере.
Защитные фильтры снижают вероятность успешной атаки, однако разработчики требуют обновить сам PHP. Если проникновение уже произошло, установка исправления не удалит оставленные злоумышленником файлы и не отменит возможную утечку. Поэтому после обновления требуется проверить систему на следы компрометации.
Теги: PHP, PHP2Shell, Рунет, ФСБ, НКЦКИ, кибербезопасность, искусственный интеллект, технологические акции.
