Критические уязвимости обнаружены в программном обеспечении миллионов сайтов
В мире начались экстренные проверки и обновления интернет-серверов после обнаружения двух критических уязвимостей в языке программирования PHP, на котором работают миллионы сайтов. В нескольких европейских странах государственные учреждения и компании временно отключили веб-ресурсы, опасаясь хакерских атак. Южная Корея повысила уровень киберугрозы, Китай призвал организации усилить защиту информационных систем. Предупреждение выпустил и Казахстан.
Как сообщает британский телеканал Sky News, обнаруженные уязвимости позволяют злоумышленникам при определённых условиях получать удалённый доступ к серверам без предварительной авторизации. Это создаёт угрозу хищения конфиденциальной информации, нарушения работы сайтов и несанкционированного изменения их содержимого.
Проблема затрагивает непосредственно программную основу PHP, а не отдельный сайт или приложение. Этот язык используется в популярных системах управления содержимым сайтов, включая WordPress, Drupal и Joomla, а также в интернет-магазинах и других онлайн-сервисах.
По данным исследовательской компании Wiz, PHP применяется примерно на 70% сайтов в мире. При этом столь широкое распространение языка не означает, что все эти ресурсы уже взломаны или одинаково уязвимы.
Уязвимости обнаружили с помощью искусственного интеллекта
Специалисты по кибербезопасности выявили две критические уязвимости, получившие общее неофициальное название PHP2Shell. Они зарегистрированы под идентификаторами CVE-2026-109618 и CVE-2026-109619.
Обе получили оценку 9,2 балла по десятибалльной шкале CVSS, используемой для определения серьёзности уязвимостей программного обеспечения.
Как пишет Reuters, исследователи компаний Wiz и Calif независимо обнаружили проблемы с использованием инструментов искусственного интеллекта. По их оценкам, ошибки в программном коде оставались незамеченными более десяти лет.
Разработчики PHP 21 октября выпустили экстренные обновления безопасности и рекомендовали администраторам сайтов установить исправления как можно быстрее.
Однако специалисты предупреждают, что публикация сведений об уязвимостях одновременно облегчает злоумышленникам поиск незащищённых серверов.
По информации Reuters, специалисты Amazon зафиксировали попытку использования одной из уязвимостей ещё 17 октября, до официального раскрытия информации о проблеме. Впоследствии были обнаружены и другие попытки атак.
Государственные сайты начали отключать
В Нидерландах временно прекратили работу сайты ряда государственных учреждений, включая Национальный центр кибербезопасности. В числе ресурсов, затронутых профилактическими отключениями, оказались портал государственных услуг, сайт порта Роттердама, интернет-страницы нескольких больниц и политических партий.
Во Франции Министерство внутренних дел перевело свои сайты в режим профилактического обслуживания.
В Финляндии государственный поставщик информационных услуг Valtori временно отключил публичные сетевые сервисы. В Дании ограничения затронули несколько муниципальных информационных систем, в том числе национальную платформу школьной коммуникации.
Отдельные системы временно отключали также операторы Wikipedia и Internet Archive.
При этом речь не обязательно идёт о последствиях успешных кибератак. Во многих случаях организации самостоятельно приостанавливали работу сайтов, чтобы установить обновления и исключить возможность несанкционированного доступа.
Южная Корея повысила уровень киберугрозы
В Южной Корее 22 октября Министерство науки и информационно-коммуникационных технологий повысило уровень предупреждения о киберугрозах до категории «осторожность». Это вторая ступень снизу в национальной четырёхуровневой системе.
По информации южнокорейского агентства Yonhap, правительственным учреждениям и компаниям рекомендовали незамедлительно установить обновления.
Министр науки и информационно-коммуникационных технологий Пэ Гён Хун предупредил, что уязвимости способны затронуть большое количество сайтов, а программные инструменты для их эксплуатации уже находятся в открытом доступе.
В администрации президента Южной Кореи состоялось экстренное совещание по вопросам кибербезопасности. Представители государственных ведомств оценили использование PHP в гражданском, коммерческом и оборонном секторах.
По оценке администрации президента, государственные учреждения и военные структуры страны относительно защищены от обнаруженных угроз, поскольку PHP используется в их системах ограниченно.
Китай также распространил предупреждение через национальную базу данных уязвимостей информационной безопасности. Организациям рекомендовали проверить используемые версии PHP, установить обновления и при необходимости временно ограничить доступ к потенциально уязвимым сервисам.
Казахстан предупредил о риске взлома серверов
В Казахстане на обнаруженные уязвимости отреагировала Национальная служба реагирования на компьютерные инциденты KZ-CERT.
Как говорится в официальном предупреждении KZ-CERT, опубликованном 22 октября, обе уязвимости позволяют злоумышленникам удалённо выполнять программный код на сервере без прохождения аутентификации.
Первая уязвимость, CVE-2026-109618, связана с ошибками обработки нехватки памяти при выполнении запросов. В таких ситуациях внутренние данные PHP могут оставаться не полностью инициализированными, что создаёт условия для нарушения безопасности сервера.
Вторая уязвимость, CVE-2026-109619, возникает, когда PHP сохраняет устаревшее внутреннее состояние после освобождения памяти. При обработке последующих запросов программа может повторно обращаться к этим данным.
Эксплуатация обнаруженных уязвимостей способна позволить злоумышленникам выполнять произвольный программный код на уязвимом сервере без предварительной авторизации, а также получать доступ к конфиденциальной информации. В памяти серверных процессов могут находиться пароли, токены авторизации, ключи доступа к программным интерфейсам (API) и другие защищённые данные.
Потенциальная угроза распространяется на сайты и приложения, использующие уязвимые версии PHP. Среди них могут быть ресурсы на платформах WordPress, Magento, Drupal, Joomla и MediaWiki. При этом наличие одной из этих систем не означает, что конкретный сайт обязательно уязвим.
Для устранения угрозы разработчики PHP 21 октября выпустили обновления безопасности. Исправления включены в версии 8.2.35, 8.3.36, 8.4.27 и 8.5.12. Для более старых веток PHP, официальная поддержка которых прекращена, необходимо проверить наличие исправлений от поставщика программного обеспечения либо перейти на поддерживаемую версию.
Администраторам рекомендуется проверить версии PHP, установить необходимые обновления, перезапустить серверные процессы и убедиться, что исправления применены. Также следует усилить мониторинг подозрительных запросов и проверить серверы на признаки возможных атак.
Если немедленная установка обновлений невозможна, специалисты рекомендуют временно ограничить внешний доступ к потенциально уязвимым сервисам и использовать дополнительные средства защиты. Однако такие меры лишь снижают риск и не заменяют полноценного обновления программного обеспечения.
О подтверждённых массовых взломах государственных информационных систем, банков или других крупных интернет-сервисов Казахстана в опубликованном предупреждении KZ-CERT не сообщается.
Вместе с тем масштаб использования PHP означает, что потенциальные риски могут затрагивать организации разных отраслей, включая государственный сектор, электронную коммерцию и финансовые услуги.
Эксперты по кибербезопасности предупреждают, что наибольшая опасность связана с задержкой установки обновлений. После публичного раскрытия технических подробностей уязвимостей злоумышленники получают возможность искать серверы, владельцы которых ещё не успели устранить проблему.
