В среду интернет едва не столкнулся с масштабным сбоем из-за двух уязвимостей в PHP — открытой веб-технологии, которой уже несколько десятилетий. Ошибки долгие годы оставались незамеченными, пока исследователи не нашли способ их использовать. Уязвимости получили название PHP2Shell и официальные идентификаторы CVE-2026-109618 и CVE-2026-109619. По сути, они позволяют злоумышленнику проникнуть в систему на базе PHP — сайт или сервер с выходом в интернет — без пароля и получить доступ к данным или изменить их.
Сложившаяся ситуация оказалась весьма серьёзной: миллионы людей по всему миру были вынуждены срочно обновлять системы, чтобы злоумышленники не успели воспользоваться ошибками. PHP Foundation, поддерживающая это веб-программное обеспечение, в среду опубликовала исправления, которые закрывают уязвимости и защищают серверы от атак. Крупнейшие интернет-компании и хостинг-провайдеры, работающие на PHP, получили возможность установить патчи заранее.
Благодаря неделям закрытых обсуждений и согласованных действий в отрасли массового взлома интернета пока удалось избежать. С среды государственные органы начали призывать граждан и компании, имеющие сайты, принять меры для снижения рисков. Представители самых разных отраслей временно закрыли сайты и отключили сервисы, чтобы установить обновления. Банки, торговые сети, игровые площадки, интернет-магазины, больницы и некоторые госучреждения останавливали серверы, чтобы предотвратить атаки.
Однако специалисты по безопасности предупреждают, что ситуация ещё не завершена: значительное число систем по всему миру остаётся без обновлений и уязвимо для взлома и кражи данных. По их мнению, это вряд ли станет последним крупным scare (испугом) в сфере интернет-ПО. Некоторые ожидают, что искусственный интеллект начнёт быстро выявлять ещё не обнаруженные уязвимости, которые только ждут, чтобы их нашли и использовали.
Исследователи из Calif обнаружили две ошибки в PHP — языке программирования, широко применяемом для создания сайтов и веб-приложений как в интернете, так и во внутренних сетях компаний. PHP распространяется как открытое ПО: он бесплатен и доступен каждому, поэтому стал одним из самых популярных языков веб-разработки. Обе уязвимости впервые выявили в 2024 году, но тогда их не сочли эксплуатируемыми и не исправили. Недавно специалисты нашли способ их использования и сообщили разработчикам, после чего Calif уведомила PHP Foundation. Фонд занялся исправлением и согласованным раскрытием информации: сведения и патчи держались в строгой тайне до определённого срока, чтобы крупные компании успели установить исправления.
Опасность PHP2Shell в том, что уязвимость можно использовать удалённо через интернет, без необходимости переходить по ссылке или открывать файл. Это так называемое remote code execution (удалённое выполнение кода) — один из наиболее разрушительных типов атак, поскольку он даёт хакеру из любой точки мира фактически полный контроль над незащищённой системой. Кроме того, эти ошибки позволяют войти в любую необновлённую систему без пароля и иных учётных данных, то есть получить неаутентифицированный доступ. После этого злоумышленник может установить вредоносное ПО, например для кражи данных или закрепления в системе на длительный срок.