PHP — один из самых популярных языков, на котором работает интернет. На нём держатся WordPress, Drupal, Joomla и масса других сайтов и приложений. Поэтому критическая уязвимость в самом PHP — это не головная боль отдельных разработчиков, а риск для всех, у кого есть веб-сервисы.
Что случилось. 21 октября команда PHP выпустила обновления, закрывающие две критические уязвимости — CVE-2026-109618 и CVE-2026-109619 (в связке их называют PHP2Shell). Обе получили 9,2 балла из 10 по шкале CVSS 4.0. Простыми словами: злоумышленник может выполнить свой код на сервере без логина и пароля. А дальше — что угодно: украсть базы данных, пароли и токены, подменить содержимое сайта, поставить вредоносное ПО. Через взломанный сервер можно пробраться во внутреннюю сеть компании, захватить другие системы и даже развернуть шифровальщиков, требующих выкуп. Особенно рискуют серверы, доступные напрямую из интернета.
Насколько это массово. По данным W3Techs, PHP используют 90,9% сайтов с известным серверным языком и русскоязычным контентом. В Рунете это порядка 500 тысяч ресурсов. Важно понимать: сам по себе PHP не делает сайт уязвимым — всё зависит от версии, настроек, используемых компонентов и того, как быстро ставятся обновления. Но масштаб технологии говорит о том, что последствия могут быть очень широкими.
Дело не только в сайтах. PHP живёт не только на веб-серверах, но и внутри инфраструктурных решений — а значит, атаковать можно гораздо больше, чем обычные сайты. Уязвимости затрагивают продукты на базе PHP, включая межсетевые экраны и системы управления сетевой безопасностью. Подтвердили влияние Palo Alto Networks (для PAN-OS и Panorama) и Netgate (для pfSense). Разработчики Coolify признали, что затронуты все ветки версии 4.x, а Cisco и Sophos ещё разбираются, касается ли это их продуктов.
Почему это опасно. Такие уязвимости можно использовать без всякой аутентификации и без предварительных «подготовительных» атак. При определённых условиях достаточно отправить специально собранный запрос на уязвимый сервер — и если всё сработает, злоумышленник получает возможность выполнять команды на сервере. Что именно он сможет сделать, зависит от настроек системы и прав, под которыми работает PHP. Для владельца сайта суть простая: проблема сидит в самом PHP, а не в каком-то конкретном приложении.
Атаки уже начались. 21 октября технический директор Cloudflare Дейн Кнехт сообщил, что компания видит первые признаки атак и обновляет защиту по мере появления новых способов эксплуатации. В открытом доступе уже гуляет код для атаки, хотя работоспособность не всех образцов подтверждена. Вывод: ждать подробных инструкций по массовому взлому не стоит — реагировать нужно сейчас.
При чём тут ИИ. Искусственный интеллект заметно помог в обнаружении и изучении этих дыр. 11 августа 2026 года OpenAI независимо нашла первопричину CVE-2026-109618 и в тот же день сообщила о ней. Ранее PHP Foundation вместе с Alpha-Omega сканировала исходники PHP с помощью модели Anthropic Claude Mythos, а для проверки отчётов и эксплойтов применялся специализированный инструмент OpenAI Daybreak Red. При этом ИИ не заменяет людей: специалисты проверяют результаты, принимают решения и пишут исправления. И, судя по развитию таких инструментов, новых критических уязвимостей — в том числе в давно существующем ПО — стоит ждать ещё.
Как защититься.
Найдите, где у вас PHP. Не только на серверах, но и в контейнерах и приложениях, о которых могли забыть после запуска проекта.
- Обновитесь. Исправленные версии — PHP 8.5.12, 8.4.27, 8.3.36 или 8.2.35, в зависимости от вашей ветки. На Linux проверьте, есть ли исправленные пакеты у поставщика дистрибутива.
- Если обновиться прямо сейчас нельзя — оцените компенсирующие меры и усильте мониторинг, но помните: патч они не заменяют.
- Отдельно — устаревшие версии. PHP 8.1 и более ранние больше не получают стандартных обновлений безопасности. Проверьте, есть ли исправления от поставщика, или планируйте переход на поддерживаемую версию. То, что приложение работает, не значит, что его фундамент безопасен.
- Прикройте веб-периметр. Решения класса WAF блокируют подозрительные запросы извне и попытки эксплуатации. Важно, чтобы разработчик WAF быстро добавлял знания о новой угрозе — например, защита от PHP2Shell появилась в PT AF Cloud (продукт Positive Technologies) автоматически ещё до первых подтверждённых атак.
Держите руку на пульсе. Системы управления уязвимостями вроде MaxPatrol VM отмечают PHP2Shell как трендовую угрозу и помогают учитывать её при анализе защищённости. Зафиксировать попытки эксплуатации помогут решения класса NTA/NDR (например, PT NAD) и межсетевые экраны нового поколения (PT NGFW).
Контекст. PHP2Shell напоминает о других громких историях — например, о Log4Shell, обнаруженной в 2021 году в библиотеке Apache Log4j. Тогда одна дыра в популярном компоненте поставила под удар тысячи организаций по всему миру и потребовала срочной реакции. Мораль та же: защищать нужно не только свой код, но и всю технологическую цепочку под ним. Уязвимость в широко используемом компоненте бьёт сразу по множеству независимых компаний. Поэтому инвентаризация инфраструктуры, своевременные обновления и контроль устаревшего ПО — не бюрократия, а базовая гигиена бизнеса.