Две уязвимости в PHP угрожают 70% сайтов: Cloudflare насчитала миллионы атак за сутки

PHP (язык программирования, на котором работает серверная часть большинства сайтов в интернете) используется, по ряду оценок, до 70 процентами веб-ресурсов. Он стоит за WordPress, Wikipedia, Drupal, DeviantArt и тысячами других платформ. Исследователь безопасности из компании Calif обнаружил критические уязвимости с помощью модели GPT-5.6 Sol от OpenAI, а команда безопасности Wiz (израильская компания в сфере облачной безопасности, приобретённая Google) подтвердила находку. Информацию об атаках первыми опубликовали The Verge, Wired и Bleeping Computer.

Что произошло и почему это касается каждого сайта на PHP?

• Уязвимости позволяют выполнить вредоносный код удалённо. Злоумышленник может запустить произвольные команды на сервере жертвы. Элизабет Бэррон, исполнительный директор PHP Foundation, сообщила The Verge, что «успешных случаев удалённого выполнения кода, насколько нам известно, не зафиксировано», но обновление «необходимо немедленно».

• Брешь существует в каждой версии PHP за последние примерно 20 лет. Многие из этих версий уже не поддерживаются. Два японских мобильных онлайн-проекта, World Quest и Save My Demonic World, проработавшие более десяти лет, объявили о закрытии: разработчики заявили, что устаревшая кодовая база не позволяет установить патч.

• Атаки начались до выхода патча. По данным Amazon Threat Intelligence, попытка эксплуатации PHP2Shell была зафиксирована ещё 17 октября через систему-ловушку для хакеров. Главный офицер по информационной безопасности Amazon Си-Джей Мозес подтвердил эту находку.

• Cloudflare зафиксировала лавинообразный рост атак. Генеральный директор Cloudflare Мэттью Принс сообщил, что за 10 часов до публичного раскрытия компания видела тысячи попыток эксплуатации. Через два часа после раскрытия счёт пошёл на «сотни тысяч», а к ночи число атак достигло «миллионов».

• Государственные сайты пострадали. Ряд голландских и финских госорганов превентивно отключили свои ресурсы. Аккаунт кибербезопасности АНБ США и британский Национальный центр кибербезопасности рекомендовали организациям отключить системы, если немедленное обновление невозможно. Даже Internet Archive (цифровая библиотека интернета) временно ушёл в офлайн, но команда быстро установила патч.

• ИИ сделал эксплуатацию реальной угрозой. По оценке Wiz, раньше использование бреши «требовало исключительно сложной цепочки шагов, на пределе возможностей исследователей-людей». Мощные ИИ-модели резко снизили этот порог.

Один человек и открытый код

Ондржей Суры, разработчик, практически в одиночку подготовивший и упаковавший патч для этих уязвимостей, дал интервью The Atlantic. Он обеспокоен тем, что коммерческие компании эксплуатируют открытый код (open-source, код, доступный всем для использования и доработки), но при этом не вкладываются в его поддержку.

Всё ускоряется, и это изматывает тех, кто защищает инфраструктуру. Но, может быть, это поворотный момент, когда мы наконец начнём заботиться об этом. Это была катастрофа, которая ждала своего часа очень, очень давно. : Ондржей Суры, разработчик, ответственный за пакетирование патча PHP

Ситуация наглядно показывает, насколько критическая инфраструктура интернета зависит от работы нескольких энтузиастов. Патч вышел оперативно, но сам факт, что безопасность 70 процентов веб-сайтов оказалась в руках одного человека, заставляет задуматься о хрупкости всей экосистемы.

Как проверить и защитить свой сайт?

1. Узнайте версию PHP на своём хостинге. В панели управления (cPanel, ISPmanager, Plesk) откройте раздел «PHP» или «Выбор версии PHP». Можно также создать php файл с содержимым <?php phpinfo(); ?> и открыть его в браузере: вверху отобразится версия. Функция php file put contents (запись данных в файл) позволяет автоматизировать логирование версии на сервере.
2. Обновите PHP до последней пропатченной версии. Если хостинг-провайдер ещё не обновил, свяжитесь с поддержкой и потребуйте немедленного обновления. OpenAI опубликовала инструмент для проверки уязвимых версий.
3. Проверьте совместимость вашей CMS. Если вы работаете на WordPress или 1С-Битрикс, убедитесь, что плагины и темы совместимы с обновлённой версией PHP. Резервная копия перед обновлением обязательна.
4. Если обновление невозможно, отключите сайт. Это прямая рекомендация АНБ США и британского Национального центра кибербезопасности для систем, которые нельзя обновить немедленно.

Что это значит для российских сайтов?

Российские проекты на PHP, а это подавляющее большинство сайтов на 1С-Битрикс, WordPress, Joomla, интернет-магазинов и корпоративных порталов, находятся в зоне риска ровно так же, как и зарубежные. В России нет отдельного аналога PHP: язык один для всех. Но есть нюанс, который усугубляет ситуацию.

Многие сайты малого бизнеса в РФ работают на устаревших версиях PHP (5.6, 7.0, 7.1), которые давно не получают обновлений безопасности. Если ваш сайт создавался пять и более лет назад и с тех пор не обновлялся, вероятность уязвимости высокая. Обратитесь к разработчику или хостинг-провайдеру сегодня: не завтра, не на следующей неделе.

Что делать прямо сейчас, по ролям?

Автору Дзена и блогеру. Если у вас есть свой сайт на WordPress (а это один из самых популярных вариантов), проверьте версию PHP у хостера. Сам Дзен как платформа не использует PHP, ваш канал в безопасности. Но личный сайт-визитка или портфолио на WordPress может быть уязвимым.

Маркетологу и предпринимателю. Свяжитесь с вашим техническим подрядчиком или веб-студией. Попросите письменное подтверждение, что PHP обновлён. Если ваш интернет-магазин на 1С-Битрикс или OpenCart, это вопрос первого приоритета: через уязвимость злоумышленник может получить доступ к базе клиентов.

Разработчику. Проверьте все серверы в продакшене. Используйте инструмент проверки от OpenAI. Обратите внимание на функции работы с файлами вроде php file put contents: если злоумышленник получит возможность выполнять код на сервере, именно такие функции станут инструментом для записи вредоносных файлов.

Частые вопросы

Мой сайт на Тильде или Дзене, мне нужно что-то делать?

Нет. Тильда, Дзен, конструкторы сайтов и социальные сети сами отвечают за свою инфраструктуру. Уязвимость касается только тех, кто размещает сайт на собственном хостинге с PHP: WordPress, 1С-Битрикс, Joomla, OpenCart и подобные CMS (системы управления сайтом).

Можно ли просто подождать, пока хостер сам обновит PHP?

Крупные хостинг-провайдеры уже устанавливают патчи. Но ждать пассивно опасно: Cloudflare фиксирует миллионы атак. Позвоните или напишите в поддержку хостинга и спросите прямо, установлен ли патч для CVE-2026-109618 и CVE-2026-109619. Если провайдер не может ответить, это повод задуматься о смене хостинга.

Правда ли, что ИИ одновременно нашёл уязвимость и помог её эксплуатировать?

По данным источников, исследователь из Calif использовал GPT-5.6 Sol именно для обнаружения уязвимости до того, как ею воспользовались злоумышленники. Но Wiz подтверждает, что ИИ-модели в целом снижают порог сложности для эксплуатации подобных брешей. Это не парадокс, а реальность: один и тот же инструмент работает в обе стороны, и побеждает тот, кто действует быстрее.