Две критические уязвимости PHP позволяли удалённо выполнить код на сервере без пароля и участия пользователя. Для русскоязычных команд это повод не откладывать инвентаризацию PHP-хостов: под ударом могли оказаться сайты, внутренние порталы и сервисы на WordPress, Drupal, Joomla и MediaWiki.
Ошибки получили общее имя PHP2Shell и идентификаторы CVE-2026-109618 и CVE-2026-109619. Патчи PHP Foundation опубликовала в среду, а крупные облачные провайдеры и хостинги получили детали заранее, чтобы успеть защитить инфраструктуру. По данным TechCrunch, эта координация помогла избежать мгновенной волны массовых атак, но часть организаций на время отключала сайты и сервисы ради обновления.
Сценарий особенно неприятен не из-за очередного номера CVE, а из-за свойств атаки. Эксплуатировать дефекты можно через интернет, без учётной записи, ссылки в письме или загруженного пользователем файла. Успешная атака даёт злоумышленнику возможность выполнить команды на уязвимой машине: установить бэкдор, похитить данные, изменить содержимое сайта или закрепиться в сети для дальнейшего движения.
Проблемы были обнаружены ещё в 2024 году, но тогда исследователи не нашли практического способа их эксплуатации, поэтому исправления не выпустили. Позднее специалисты Calif превратили теоретические находки в рабочую цепочку атаки и сообщили о ней PHP Foundation. Фонд организовал закрытое раскрытие: ограниченному кругу крупных компаний передали сведения и обновления до публичного релиза. Для open source это обычная, но хрупкая процедура: чем шире круг посвящённых, тем выше шанс, что технические детали выйдут раньше срока.
Именно так, вероятно, и произошло. Amazon зафиксировала попытки эксплуатации примерно за неделю до публикации патчей и рекомендует искать признаки компрометации начиная с 17 октября. PHP Foundation отдельно заявила, что одна из компаний выложила патчи за несколько часов до окончания эмбарго. Открытый код упрощает защитникам аудит, но одновременно позволяет атакующим сравнить изменения, быстро локализовать уязвимое место и строить эксплойт. Ранняя активность за целую неделю эта версия полностью не объясняет: баг могли найти независимо, сведения могли утечь или кто-то получил их в ходе разведки.
Масштаб риска объясняется не тем, что PHP внезапно стал главным языком интернета, а его накопленной ролью в инфраструктуре. По приведённой оценке, PHP используется примерно на 70% веб-сайтов с доступной извне серверной частью. Язык десятилетиями лежит под популярными CMS, корпоративными сайтами и самописными приложениями. Его доля постепенно снижается на фоне более новых стеков, но это не делает старые установки менее ценными для атакующих: забытый лендинг с формой обратной связи иногда ведёт в ту же сеть, что и платёжные либо внутренние системы.
Для разработчиков и эксплуатации приоритет очевиден: проверить, где именно работает PHP, установить доступные исправления, сопоставить версии интерпретатора и пакетов, а затем изучить журналы как минимум с 17 октября. Важна не только публичная витрина. Уязвимые PHP-приложения нередко живут во внутренних сетях, на тестовых доменах, в старых контейнерах и в окружениях подрядчиков. Если сервер был доступен из интернета и обновлялся уже после публикации, патч не отменяет необходимость поиска подозрительных процессов, новых учётных записей, неизвестных задач планировщика и аномалий в веб-логах.
История также бьёт по экономике поддержки open source. PHP остаётся базовым компонентом огромного числа коммерческих продуктов, но его безопасность во многом зависит от фонда и независимых участников, у которых не всегда есть бюджет на регулярные внешние аудиты. Компании, использующие такие зависимости, фактически получают безопасность как общий ресурс — пока не наступает день, когда этот ресурс приходится срочно оплачивать простоями и ночными сменами.
Исследователи Calif использовали ИИ как вспомогательный инструмент при разработке эксплуатации, однако ключевую работу выполнили люди, хорошо знакомые с кодовой базой PHP и историей похожих атак. Это важная поправка к модному тезису о том, что модели уже способны «найти все баги» по одному запросу. Реалистичнее другой прогноз: ИИ сократит время между обнаружением слабого места, анализом патча и появлением готовых атак. Поэтому уязвимости PHP — не разовая паника вокруг старого языка, а наглядный тест скорости обновления всей цепочки: от мейнтейнера до последнего забытого сервера. Подробности исследования и хронологию инцидента можно сверить в материале .
