PHP закрыл дыры PHP2Shell, сайты уходят в офлайн

Разработчики PHP 21 октября выпустили версии 8.5.12, 8.4.27, 8.3.36 и 8.2.35. Они закрывают две критические уязвимости, которые позволяют без авторизации выполнить чужой код на сервере. Пока сайты обновлялись, госслужбы Финляндии, парламент Нидерландов, Nintendo, OBS Project и берлинская клиника Charité на время отключили часть своих ресурсов.

Уязвимости получили номера CVE-2026-109618 и CVE-2026-109619 и оценку 9,2 из 10 по шкале CVSS. Исследователи Wiz назвали связку PHP2Shell и оценили, что под угрозой больше 70% сайтов в интернете. Так выглядит доля веб-ресурсов, которые работают на PHP.

Что именно сломано

Обе ошибки связаны с тем, как PHP обрабатывает фатальные сбои, прежде всего нехватку памяти. Если запрос упирается в лимит памяти в неудачный момент, интерпретатор оставляет недостроенные внутренние данные и потом считает их рабочими. Во второй уязвимости после сбоя остаются ссылки на память предыдущего запроса.

Wiz показала удалённый взлом без пароля на свежих сборках WordPress, Drupal и Joomla. По данным компании, уязвим даже простейший сайт «Hello World» на затронутой версии PHP. Сильнее всего рискуют серверы Apache с модулем mod_php, но разработчики PHP считают потенциально уязвимыми и PHP-FPM, php-cgi, FrankenPHP и LiteSpeed.

Как ИИ нашёл ошибку

Первые признаки проблемы, по словам PHP Foundation, разработчик ядра заметил ещё в 2024 году, но исправление месяцами буксовало из-за споров о совместимости. В августе 2026-го ту же первопричину независимо нашли команда Calif по программе OpenAI Patch the Planet, сама OpenAI с агентом Codex Security и Wiz. Wiz работала с моделями Gemini 4 Argon от Google и GPT-5.6 Sol от OpenAI.

Раскрытие пошло не по плану. 20 октября номера уязвимостей утекли в соцсети с ошибочной оценкой 10 из 10, а Calif по ошибке опубликовала видео с работающим эксплойтом. PHP перенёс выпуск патчей на сутки раньше, на 14:00 UTC 21 октября. Компания Chainguard выложила исправленные сборки ещё за шесть часов до этого, и PHP Foundation упрекнула её в срыве согласованного раскрытия.

Атаки уже идут

PHP Foundation заявила, что на момент выпуска рабочих эксплойтов не видела. Компания watchTowr при этом фиксирует попытки атак с меткой php2shell в заголовках запросов. «Пока никому не удалось добиться успеха, но мы не ждём, что так будет долго», — сказал глава отдела анализа угроз watchTowr Джейк Нотт.

CERT-EU советует компаниям, которые не могут обновиться сразу, отключить публичные сайты от интернета до установки патча. Cloudflare, Akamai, Fastly, AWS и Google Cloud уже включили временную защиту на уровне своих сетей. Wiz подчёркивает, что полностью проблему решает только обновление PHP.

Главный риск остаётся за старыми серверами. Ветки 8.1 и ниже исправлений не получат, а по оценке старшего исследователя Detectify Жовиан Жардим, примерно половина PHP-сайтов работает именно на них. PHP Foundation признала задержку «структурным сбоем» и обещала ускорить решения по сложным уязвимостям. Накануне мы писали, как PHP готовил экстренные патчи.

Источники: PHP Foundation — о выпуске патчей и хронологии, Wiz — исследование PHP2Shell, The Register — об отключённых сайтах и атаках, The Record — о реакции компаний и регуляторов