Организации спешно принимают меры для защиты после раскрытия двух критических уязвимостей в широко используемом коде, который обеспечивает работу большей части интернета. Обнаруженные в скриптовом языке PHP уязвимости могут позволить злоумышленникам выполнять удаленное выполнение кода (RCE) без аутентификации.
В среду утром PHP Foundation выпустила исправления для затронутых версий и заявила, что организациям, использующим PHP, «крайне важно» немедленно установить патчи. Отмечается, что под угрозой находятся все установки PHP, обслуживающие веб-запросы, включая PHP-FPM, Apache с mod_php, php-cgi, FrankenPHP и LiteSpeed. Наибольший риск существует для mod_php, где неаутентифицированный запрос может привести к эксплуатации до выполнения кода приложения.
В ответ на раскрытие информации некоторые государственные веб-сайты в Европе, в том числе в Нидерландах и Финляндии, а также других организаций по всему миру были временно отключены в качестве меры предосторожности.
PHP — «сам по себе веб»
PHP — это широко используемый язык сценариев с открытым исходным кодом для серверной стороны, который лежит в основе таких веб-сайтов, как WordPress, который обеспечивает работу 43% интернета, а также Mailchimp, Drupal, Magento, Laravel, частей Slack и Zoom и многих других.
Влияние не ограничивается веб-сайтами, отметил Национальный центр кибербезопасности Нидерландов (NCSC-NL) в своем описании уязвимостей, коллективно названных PHP2Shell. PHP также встраивается в бытовую технику, сетевые устройства, интерфейсы управления и другие продукты поставщиков, где администраторы могут не иметь возможности напрямую обновлять PHP. CERT-EU, организация, отслеживающая угрозы кибербезопасности в Европейском союзе, также предупредила, что многие коммерческие и открытые продукты используют PHP в качестве серверной технологии, и они также могут быть затронуты уязвимостями, даже если они напрямую не предоставляют установку PHP.
Это делает уязвимости еще более серьезными. CVE-2026-109618, имеющая рейтинг серьезности 9,2 по общей системе оценки уязвимостей (CVSS), может позволить удаленное выполнение кода через повреждение памяти при обработке нехватки памяти (OOM) — стратегии, которую операционные системы (ОС) и приложения используют, когда физическая оперативная память и пространства подкачки исчерпаны.
CVE-2026-109619, также с оценкой 9,2, позволяет удаленное выполнение кода через устаревшее глобальное состояние, принадлежащее запросу и повторно используемое последующим запросом на том же рабочем процессе.
Обе уязвимости находятся в частях PHP, которые затрагивает практически каждый запрос: управление памятью и обработка ошибок, отметила PHP Foundation. Это делает обе ошибки чрезвычайно серьезными, а также трудными для исправления без ущерба для совместимости или производительности. Организациям следует исходить из предположения, что они подвергаются риску.
«Значимость этих уязвимостей заключается в их расположении», — сказала старший аналитик Forrester Мадлен ван дер Хут. PHP обеспечивает работу 70% веб-сайтов, что создает огромный риск концентрации.
«Проверки только корпоративного веб-сайта недостаточно», — сказала она. «Организации должны определить, где они подвергаются риску, и расставить приоритеты для систем, выходящих в интернет».
Затронутым организациям следует обновиться до версий PHP 8.5.12, 8.4.27, 8.3.36 или 8.2.35. Поставщики Linux и долгосрочной поддержки (LTS) получили исправления заранее, сообщила Фонд, поэтому организациям следует уточнять у своих поставщиков информацию об исправлениях.
PHP 8.1 и другие устаревшие версии больше не получают обновлений от проекта PHP, хотя некоторые дистрибьюторы и поставщики LTS предоставляют бэкпортированные исправления, поэтому организации, все еще использующие неподдерживаемые версии, также должны связаться со своими поставщиками.
Те, кто полагается на поддерживаемый волонтерами rpms.remirepo.net, должны перейти на пакеты дистрибутива или собрать из исходного кода для немедленного применения обновлений, посоветовала PHP Foundation.
Те, кто не может немедленно установить исправления, должны принять превентивные меры, описанные CERT-EU, для снижения риска, предупредив, что эти меры не делают установку безопасной.
«Вот как выглядит уязвимость в масштабах интернета», — сказал Неатсун Зив, генеральный директор компании OX Security, занимающейся безопасностью приложений во время выполнения. «Когда уязвимость затрагивает столь повсеместную технологию, радиус поражения — это не один продукт или одна отрасль. Это сам веб».
Исследователи из его компании независимо воспроизвели уязвимости и обнаружили, что уязвимая функциональность включена по умолчанию и существует в PHP с версии 5.4.
Тем не менее, эксперты подчеркивают, что установка исправлений — лишь один из элементов реагирования. Скорость имеет значение, отметила ван дер Хут из Forrester, и командам по безопасности необходимо определить, где работает PHP, расставить приоритеты для систем, подверженных риску, оперативно применить официальные исправления и провести расследование на предмет признаков компрометации.
«Патч устраняет уязвимость; он не обязательно удаляет доступ, который злоумышленник мог уже получить», — сказала она.
Офлайн не значит взломан
Учитывая слухи о том, что эксплойты уже доступны в даркнете, отключение сервисов для их защиты и последующего исправления является прагматичным выбором, говорят эксперты.
Ван дер Хут из Forrester подчеркнула, что отключение веб-сайта не означает, что он был взломан. Если организация еще не может исправить или адекватно защитить потенциально уязвимую систему, временное отключение может быть «пропорциональным решением риска». То есть организации принимают краткосрочную потерю доступности вместо риска потенциального серьезного компрометации.
В конечном счете, это проверка операционной устойчивости, а не просто управления исправлениями, сказала ван дер Хут. Организации должны решить, могут ли они поддерживать работу сервисов, и кто имеет право отключить их при необходимости.
«Временное отключение может быть правильным решением, но оно показывает, как уязвимость программного обеспечения может привести к срыву бизнеса даже без подтвержденного взлома», — сказала она.
Роль ИИ в защите и атаках
OpenAI опубликовала блог, подробно описывающий ее роль в реагировании на проблемы PHP, объясняя, что организация по тестированию на проникновение Calif обнаружила критическую уязвимость с помощью GPT‑5.6 Sol в рамках инициативы OpenAI Patch the Planet. Wiz также независимо обнаружила и сообщила об обеих уязвимостях, а партнеры OpenAI внесли вклад в исследования, техническую поддержку и координацию до раскрытия информации PHP.
OpenAI предоставляет проверку версий PHP в качестве навыка Codex, чтобы помочь организациям идентифицировать уязвимые версии PHP и применять правильные обновления.
«Учитывая серьезность этих уязвимостей и широкое использование PHP, мы считаем это одной из самых значительных проблем безопасности за последнее время», — заявила OpenAI.
Компания также указала, что это поворотный момент в роли ИИ в безопасности; передовой ИИ обнаружил уязвимости раньше злоумышленников, дав разработчикам фору — «окно защитника».
«Это подчеркивает, как ИИ может обнаруживать уязвимости с влиянием в масштабах интернета, но те же возможности могут помочь злоумышленникам быстро разрабатывать инструменты для атак и эксплойты», — отметила OpenAI.
Мэтт Сондерс, руководитель отдела DevOps в глобальном технологическом провайдере The Adaptavist Group, подчеркнул последний момент: «Как только уязвимость будет объявлена, легионы ИИ-ботов будут искать системы для эксплуатации», — сказал он, отметив, что эти боты могут объединять несколько атак с низким уровнем уязвимости с этими новыми критическими, чтобы взломать организации.
Это означает, по его словам, «радиус поражения от взлома потенциально намного шире сейчас с атаками, усиленными ИИ, доступными тем, кто решит их использовать».
Всегда имейте в виду, что редакции могут придерживаться предвзятых взглядов в освещении новостей.
Автор – Taryn Plumb
