Две критические уязвимости в PHP заставили государственные учреждения и крупные интернет-сервисы временно отключать сайты по всему миру. Ошибки позволяют злоумышленникам захватывать серверы без пароля. Разработчики уже выпустили исправления, но миллионы сайтов потенциально остаются под угрозой.

Особенно масштабные отключения произошли в Нидерландах. Власти временно закрыли сайт парламента, государственные порталы MijnOverheid.nl и DigiD, а также ресурсы ряда ведомств. Аналогичные меры приняли порт Роттердама, несколько больниц и крупнейшие политические партии страны. Национальный центр кибербезопасности NCSC тоже отключил собственный сайт, чтобы исключить возможность его компрометации.

В Финляндии государственный ИТ-оператор Valtori приостановил работу части правительственных сервисов. Во Франции МВД распорядилось временно закрыть административные сайты местных органов власти. Датская компания Kombit отключила несколько государственных платформ, включая систему школьных коммуникаций. Во всех случаях речь шла о превентивных мерах, а не о подтверждённых взломах.

Последствия затронули и инфраструктуру Википедии. Фонд Wikimedia приостановил работу вспомогательных сервисов, включая Toolforge и Cloud VPS, которыми пользуются разработчики. Также временно отключили Phabricator и некоторые инструменты разработки. Основные проекты Wikimedia старались сохранить доступными, однако возвращение вспомогательных систем может затянуться из-за необходимости обновить приложения добровольных разработчиков.

Ограничения коснулись и развлекательных площадок. На 4chan временно перестали работать публикация сообщений, авторизация и другие динамические функции, хотя просмотр разделов оставался доступным. Посетителям показывали предупреждение о срочном обновлении PHP. DeviantArt также перевёл сайт в режим технического обслуживания. При этом публичного подтверждения, что все наблюдавшиеся сбои непосредственно вызваны уязвимостями PHP, нет.

Причиной чрезвычайных мер стали две уязвимости, получившие идентификаторы CVE-2026-109618 и CVE-2026-109619. Обе оценили в 9,2 балла из 10 по шкале CVSS 4.0, а исследователи объединили их под названием PHP2Shell. Успешная атака позволяет удалённо выполнять произвольные команды с правами серверного процесса, читать конфиденциальную информацию и потенциально развивать проникновение в инфраструктуру.

Масштаб угрозы объясняется распространённостью PHP. Язык обслуживает примерно три четверти сайтов, для которых удаётся определить серверную технологию. На PHP работают WordPress, Drupal, Joomla, Magento и множество других систем управления содержимым. Причём уязвимости находятся не в отдельных приложениях или плагинах, а непосредственно в программном движке PHP. Поэтому даже сайт с правильно написанным кодом может оказаться уязвимым.

Первая проблема, CVE-2026-109618, связана с неправильной обработкой нехватки оперативной памяти. Специально сформированный HTTP-запрос способен вызвать ошибку в момент, когда внутренние структуры PHP ещё не готовы к безопасному завершению работы. Программа затем обращается к некорректным данным и может передать управление злоумышленнику. Для атаки не обязательно находить ошибку в самом сайте.

Вторая уязвимость, CVE-2026-109619, возникает из-за повторного обращения к уже освобождённой памяти. После завершения одного запроса PHP при определённых обстоятельствах сохраняет ссылки на устаревшие данные, а при обработке следующего может воспользоваться ими снова. Исследователи показали, что подобные ошибки позволяют не только выполнять команды, но и извлекать из памяти сервера пароли, токены доступа и другие чувствительные сведения.

Наиболее опасным разработчики PHP считают сценарий с модулем mod_php для веб-сервера Apache. Исследователи продемонстрировали рабочий эксплойт, который запускает посторонний код ещё до выполнения самого PHP-приложения. Под угрозой находятся также конфигурации PHP-FPM, php-cgi, FrankenPHP и LiteSpeed, хотя практическая применимость отдельных способов эксплуатации зависит от конфигурации сервера.

Специалисты Wiz Research воспроизвели атаки на тестовых установках WordPress, Drupal и Joomla. Им удалось добиться удалённого выполнения кода без предварительной авторизации, а также продемонстрировать отдельный сценарий чтения памяти серверного процесса. По оценке исследователей, некоторые уязвимые участки кода существовали больше десяти лет, но построение надёжного способа эксплуатации требовало сложной последовательности действий.

Исправления вышли 21 октября 2026 года в версиях PHP 8.5.12, 8.4.27, 8.3.36 и 8.2.35. Уязвимыми признаны более ранние выпуски, начиная с PHP 5.4. Ветки PHP 8.1 и старше больше не получают обновлений непосредственно от проекта PHP. Однако отдельные поставщики Linux продолжают поддерживать устаревшие версии и выпускают собственные исправленные пакеты. Например, разработчики Ubuntu подготовили обновления в рамках действующих программ поддержки.

До установки исправлений администраторы могут ограничить доступ к уязвимым серверам, отключить ненужную обработку загрузок и усилить фильтрацию HTTP-запросов. Разработчики PHP также опубликовали дополнительные параметры конфигурации, снижающие риск отдельных сценариев эксплуатации. Однако полностью закрыть обе уязвимости настройками невозможно. Обновление серверной среды остаётся единственным полноценным способом устранить проблему.

Cloudflare предупредила о появлении первых попыток атак и начала корректировать правила защиты веб-приложений. Однако наблюдение подозрительных запросов ещё не доказывает успешный взлом. Подтверждений массовой компрометации сайтов пока нет. Владельцам ресурсов на WordPress и других PHP-платформах необходимо проверять именно версию PHP на сервере, поскольку обычное обновление CMS или плагинов не устраняет ошибки в интерпретаторе.

Первоначально согласованное раскрытие уязвимостей планировали на 22 октября, но 20 октября информация о проблемах преждевременно появилась в открытом доступе. Команда PHP перенесла выпуск исправлений на 21 октября, назначив релиз на 14:00 UTC, или 17:00 по московскому времени. Фактически обновления стали доступны немного раньше запланированного срока, после чего операторы серверов начали устанавливать патчи и постепенно возвращать отключённые сервисы.

Отдельного внимания заслуживает роль искусственного интеллекта. Wiz Research установила первые уязвимости ещё 19 августа 2026 года, используя инструменты Wiz Atlas и модели Gemini 4 Argon и GPT-5.6 Sol. Уже в следующие дни исследователи добились выполнения кода на Drupal и WordPress, а 24 августа передали сведения разработчикам PHP. К поиску проблем и подготовке исправлений также подключились специалисты Calif, OpenAI и других компаний.

Главная опасность PHP2Shell заключается в том, что ошибки затронули базовый компонент огромного количества сайтов, а не конкретную CMS.

Сложность эксплуатации раньше ограничивала практическую угрозу, но современные инструменты анализа кода помогают быстрее находить такие дефекты и строить рабочие атаки.

При этом переписывать приложения на другом языке не требуется. Для устранения обнаруженных уязвимостей достаточно установить исправленную версию PHP или соответствующее обновление поставщика.