Почти 70% сайтов должны обновить PHP: в языке обнаружили пару уязвимостей, позволяющих атакующему полностью захватить сервер. Речь идёт об ошибках CVE-2026-109618 и CVE-2026-109619 — они затрагивают все веб-серверы с PHP 5.4 или новее, а рабочие эксплойты, по словам экспертов, уже применяются.
PHP выпустил внеплановое обновление безопасности, исправляющее обе ошибки. Проблема в том, что на PHP работают сайты на самых разных системах публикации — Drupal, Magento, Joomla и WordPress, — поэтому патчить приходится огромному числу организаций одновременно.
Что умеют эти уязвимости
Эксплуатация даёт атакующему выполнение собственного кода на уязвимом сервере. Кроме удалённого выполнения кода (RCE), ошибки могут приводить к отказу в обслуживании и раскрытию данных.
Cloudflare уже зафиксировала попытки эксплуатации и в 3:02 по UTC включила правила веб-приложения-файрвола (WAF), чтобы отсекать атакующий трафик. Reuters сообщает, что после раскрытия уязвимостей ушли в офлайн государственные сайты в Европе и других регионах.
Масштаб показывает сканирование Censys: около 2,58 млн хостов, доступных из интернета, и 54,9 млн веб-ресурсов работают на PHP. Wiz отмечает, что хотя бы одна из двух уязвимостей затрагивает каждую версию PHP, выпущенную за последнее десятилетие.
Почему это называют вторым Log4Shell
Исследователи Wiz, участвовавшие в обнаружении ошибок, сравнивают пару с Log4Shell — критической уязвимостью в Java-фреймворке логирования Log4j, о которой стало известно в 2021 году. По их оценке, эти находки входят в число самых серьёзных уязвимостей в PHP и, возможно, в истории программного обеспечения.
Сами ошибки существовали десятилетиями, но для демонстрации их эксплуатируемости требовалась исключительно сложная цепочка шагов — на грани того, что человек-исследователь может выполнить на практике. Передовые ИИ-модели существенно снизили этот барьер, превратив давнюю ошибку в рабочий эксплойт.
OpenAI, участвовавшая в исследовании и оповещении, заявила: «Учитывая серьёзность этих ошибок и повсеместное использование PHP, мы считаем это одной из самых значимых проблем безопасности за последнее время».
Wiz предупреждает, что уязвимости, вероятно, будут массово эксплуатировать для установки веб-бэкдоров, или веб-шеллов, — панелей, через которые атакующий удалённо управляет заражённым сайтом. До публичного раскрытия компания вместе с командой PHP, Calif и OpenAI оценивала масштаб проблемы и координировала проверку патчей.
Какие версии закрыты и что делать
Ошибки исправлены в PHP 8.5.12, 8.4.27, 8.3.36 и 8.2.35. Обновление нужно ставить всем, кто держит PHP 5.4 или новее, — в том числе на серверах с давно не трогавшимися сборками.
SANS Internet Storm Center отслеживает крупные платформы, которые выпускают обновления под эти ошибки: например, Ubuntu уже опубликовала обновлённые пакеты PHP. Если сайт работает на хостинге, обновиться самому не выйдет — стоит уточнить у провайдера, когда он поставит патч.
Сложность в том, что PHP встроен в веб-приложения очень глубоко. Wiz прямо говорит: организации будут разбираться с этими уязвимостями ещё долго, а снижение экспозиции до публикации технических деталей потребовало согласованной работы через облака, хостинг-провайдеров, сети доставки контента и миллионы независимо управляемых серверов.
Для российского администратора картина та же: если сайт или внутренний сервис крутится на PHP, а версия не из списка исправленных, сервер нужно обновлять или хотя бы закрывать правилами WAF. Схожие истории с массовой эксплуатацией уже случались — например, когда в SharePoint эксплуатировали CVE-2026-65660, а CISA требовала патч в жёсткий срок. Тот же сценарий «критично, патчить всем и срочно» был и у GitLab с CVE-2026-110264, где уязвимость с максимальным баллом CVSS 10.0 позволяла выполнить код без входа на всех версиях с 7.0.
Частые вопросы
Кого касается эта история?
Всех, у кого есть веб-сервер с PHP 5.4 или новее. Это не только собственные серверы компаний, но и сайты на хостинге, и внутренние сервисы, собранные на PHP.
Как проверить свою версию PHP?
Сравните установленную версию с исправленными: 8.5.12, 8.4.27, 8.3.36 и 8.2.35. Если ваша версия старше любой из них, обновление ещё не установлено.
Что делать, если обновиться прямо сейчас нельзя?
Cloudflare включила правила WAF для отсечения атакующего трафика — аналогичная защита на периметре снижает риск, пока патч не поставлен. Но это обходная мера, а не замена обновлению.
Уже есть атаки?
Да. Cloudflare сообщила, что обнаружила попытки эксплуатации, и включила защитные правила. Reuters пишет об офлайн-сайтах госструктур после раскрытия уязвимостей.
Чем грозит успешная эксплуатация?
Выполнением произвольного кода, отказом в обслуживании и раскрытием данных. Wiz ожидает массовой установки веб-шеллов — панелей удалённого управления заражённым сайтом.
Почему уязвимости не находили раньше?
Они существуют десятилетиями, но для демонстрации эксплуатируемости требовалась очень сложная цепочка шагов. По словам Wiz, передовые ИИ-модели существенно снизили этот барьер.
Это касается только PHP или ещё чего-то?
Затронут сам PHP, но через него — все системы публикации на нём: Drupal, Magento, Joomla, WordPress. Именно поэтому проблему сравнивают с Log4Shell.
Обновления для дистрибутивов уже выходят?
Да, Ubuntu уже выпустила обновлённые пакеты PHP. SANS Internet Storm Center следит за крупными платформами, которые публикуют исправления.
Источник: krebsonsecurity.com