Cloudflare зафиксировала миллионы попыток использовать критические уязвимости PHP уже к утру 22 октября 2026 года. Для русскоязычных команд это не очередной бюллетень из мира CVE: PHP остаётся основой огромного числа сайтов, а российские сервисы и хостинги уже начали ограничивать работу отдельных функций.
Гендиректор Cloudflare Мэтью Принс сообщил, что до публичного раскрытия проблемы компания наблюдала тысячи попыток эксплуатации. После объявления об ошибках интенсивность резко выросла: за два часа счёт пошёл на сотни тысяч запросов. По данным vc.ru, исправления для четырёх последних версий PHP опубликовали 21 октября в 17:00 мск — после двух месяцев закрытой подготовки патчей разработчиками языка и внешними специалистами.
Масштаб тревоги объясняется не только скоростью атак. Согласно данным W3Techs, PHP используется на 69,3% сайтов. Эта метрика не означает, что все они уязвимы: многое зависит от версии интерпретатора, конфигурации и того, применено ли обновление. Но она хорошо показывает, почему публикация критических уязвимостей PHP превращается в проблему не одной команды сопровождения, а хостингов, облаков, WAF-провайдеров и компаний с десятками старых веб-приложений.
Две критические ошибки обнаружили и проверили в конце лета 2026 года при помощи модели GPT-5.6 Sol от OpenAI. Сам факт участия ИИ здесь важнее маркетингового эффекта: модели начинают ускорять не только разработку, но и поиск опасных дефектов в массовом инфраструктурном ПО. OpenAI также выпустила для Codex навык, предназначенный для проверки сайтов на затронутые проблемы. Однако автоматическая проверка не отменяет привычную работу инженеров: инвентаризацию серверов, установку патчей, контроль зависимостей и анализ журналов на признаки уже состоявшейся эксплуатации.
В России первые последствия были заметны ещё до того, как многие пользователи успели понять, что именно происходит. Технический директор «Гарда WAF» Лука Сафонов рассказал РБК, что до выхода обновлений многие сайты российских хостинг-провайдеров приостанавливали работу. Позже провайдеры начали предупреждать клиентов об угрозе. О временных ограничениях части функций сообщили «Битрикс24» и Beget. Это довольно показательный сценарий: при критической уязвимости безопаснее на время отключить рискованный участок инфраструктуры, чем оставить его доступным, надеясь, что атакующий выберет кого-нибудь другого.
За пределами России реакция оказалась не менее жёсткой. Свой сайт временно закрыла BBC. В Японии о приостановке работы объявили Sega, Bandai Namco, Mitsubishi UFJ Financial Group, ANA, East Japan Railway, Nomura и Tokio Marine Holdings; доступ также ограничили Министерство финансов и Национальное налоговое агентство страны. Южная Корея включила режим мониторинга и оповещения о киберугрозах для частного сектора. В Нидерландах временно отключали сайты больниц и отдельных политических партий. Ранее сообщалось и об ограничениях на ресурсах правительств Финляндии и Нидерландов, а также университетов Германии и Австрии.
Публичных сообщений о крупных утечках данных на момент публикации не было. Это не повод считать инцидент безобидным: массовые сканирования после раскрытия таких ошибок обычно ищут отстающие от обновлений инсталляции, а не обязательно заканчиваются заметной аварией в тот же день. Для разработчиков и владельцев продуктов практический минимум сейчас очевиден: сверить используемые версии PHP с выпущенными патчами, проверить, где обновления блокируют совместимость старого кода, и отдельно посмотреть логи веб-серверов и WAF за период до и после 21 октября.
Эпизод с PHP напоминает неприятную, но полезную истину: критические уязвимости в базовом стеке редко остаются технической новостью для узкого круга специалистов. Когда в цепочке есть устаревшие приложения, общий хостинг и зависимость бизнеса от личных кабинетов, касс или корпоративных порталов, окно между патчем и массовой атакой измеряется уже не неделями. В этот раз оно, судя по данным Cloudflare, начало закрываться практически сразу.
