В PHP обнаружили две критические уязвимости, позволяющие взламывать сайты без пароля. Их помог найти искусственный интеллект

Разработчики PHP выпустили экстренные обновления для устранения двух критических уязвимостей, которые позволяют злоумышленникам удаленно выполнять произвольный код на веб-серверах без авторизации. Проблемы затрагивают популярные платформы, включая WordPress, Drupal и Joomla. Обе уязвимости получили оценку опасности 9,2 балла из 10.

Об этом 21 октября сообщили разработчики PHP. Уязвимости получили идентификаторы CVE-2026-109618 и CVE-2026-109619, а исследователи объединили их под названием PHP2Shell. Компания Cloudflare уже зафиксировала попытки эксплуатации ошибок, а некоторые государственные организации в Европе временно отключили свои сайты, чтобы предотвратить возможные взломы.

Масштаб потенциальной угрозы огромен. По данным аналитической компании W3Techs на 21 октября 2026 года, PHP используется на 69,3% сайтов, для которых удалось определить серверный язык программирования. На нем работают интернет-магазины, корпоративные порталы, новостные издания и другие веб-ресурсы. Однако эта статистика не означает, что все перечисленные сайты можно взломать: опасность зависит от установленной версии PHP и конфигурации сервера.

Как работают уязвимости

PHP — язык программирования, с помощью которого сервер формирует страницы сайтов, обрабатывает запросы пользователей и взаимодействует с базами данных.

Обнаруженные ошибки связаны с управлением оперативной памятью. При обработке запросов PHP выделяет память для хранения информации, а после завершения работы освобождает ее. Однако в некоторых ситуациях этот механизм работает неправильно.

Первая уязвимость, CVE-2026-109618, возникает при нехватке памяти. Если обработка запроса неожиданно прерывается, PHP может попытаться использовать внутренние данные, которые еще не были полностью подготовлены.

Вторая, CVE-2026-109619, связана с повторным обращением к уже освобожденной памяти. После завершения одного запроса в системе могут сохраниться ссылки на устаревшие данные. Когда тот же процесс начинает обрабатывать следующий запрос, он способен обратиться к этой памяти и выполнить непредусмотренные действия.

Злоумышленник может спровоцировать такие ошибки с помощью специально подготовленных HTTP-запросов. При успешной атаке он получает возможность выполнять код с правами процесса веб-сервера, читать доступную ему конфиденциальную информацию или нарушать работу сайта.

Главная опасность заключается в том, что проблема находится непосредственно в PHP, а не в коде конкретного сайта. Поэтому даже правильно настроенный WordPress с обновленными плагинами может оказаться уязвимым, если сервер использует небезопасную версию PHP.

Исследователи Wiz подтвердили возможность атак без авторизации на тестовых установках WordPress, Drupal и Joomla. Им также удалось продемонстрировать извлечение данных из памяти PHP, включая пароли, токены авторизации и API-ключи.

Искусственный интеллект помог найти ошибки, существовавшие годами

История обнаружения PHP2Shell примечательна участием искусственного интеллекта.

Еще в начале августа 2026 года исследователь Райан Остин из компании Calif обнаружил опасные ошибки при анализе исходного кода PHP. В работе использовалась модель GPT-5.6 Sol компании OpenAI.

Независимо от Calif специалисты подразделения Wiz Research также обнаружили уязвимости. В ходе исследования они применяли инструменты Wiz Atlas, Gemini 4 Argon и GPT-5.6 Sol. По словам исследователей, ИИ существенно ускорил поиск ошибок и разработку работающих способов их эксплуатации.

Проблемы с обработкой памяти существовали в PHP много лет. Некоторые связанные с ними ошибки были известны специалистам еще в 2000-х годах, однако долгое время считались слишком сложными для практического использования.

ИИ позволил исследователям быстрее анализировать большие участки исходного кода, находить связи между ошибками и проверять различные варианты атак.

После обнаружения проблем к их устранению подключились разработчики PHP, специалисты OpenAI, Wiz, Calif и других компаний.

Первоначально исправления планировали представить 22 октября, однако информация об уязвимостях преждевременно попала в открытый доступ. Из-за риска массовых атак публикацию обновлений ускорили.

В Европе начали отключать сайты

Опасения специалистов уже привели к временной остановке ряда интернет-ресурсов.

По информации Reuters, 21 октября государственные организации Нидерландов, Финляндии и Франции ограничили доступ к некоторым своим сайтам и онлайн-сервисам.

В Нидерландах временно отключали сайты национального центра кибербезопасности, государственного портала Overheid.nl и порта Роттердама. В Финляндии ограничения затронули государственные сетевые сервисы.

При этом отключения проводились преимущественно в качестве меры предосторожности, а не вследствие подтвержденных взломов.

Компания Cloudflare сообщила, что уже наблюдает вредоносный трафик, направленный на эксплуатацию PHP2Shell. Для защиты клиентов были введены дополнительные правила веб-экрана WAF, которые помогают блокировать известные варианты атак.

Однако сама Cloudflare предупреждает, что такие меры обеспечивают лишь временную защиту и не заменяют исправление уязвимого программного обеспечения.

Какие версии PHP уязвимы и как защитить сайт

По данным исследователей, проблемы затрагивают версии PHP начиная с 5.4. Конкретные способы эксплуатации отличаются в зависимости от версии и настроек сервера.

21 октября разработчики выпустили исправленные версии PHP 8.2.35, 8.3.36, 8.4.27 и 8.5.12. Владельцам сайтов рекомендуется как можно быстрее установить соответствующее обновление.

Версии PHP 8.1 и более ранние уже не поддерживаются основной командой разработчиков. Для некоторых из них доступны исправления от поставщиков Linux-дистрибутивов и компаний, обеспечивающих расширенную поддержку. Однако наиболее надежный вариант — переход на актуальную поддерживаемую версию PHP.

Важно учитывать, что обычного обновления WordPress, Drupal или установленных плагинов недостаточно. Исправить необходимо именно PHP, установленный на сервере.

Если сайт размещен на виртуальном хостинге, следует проверить используемую версию PHP в панели управления и уточнить у провайдера, установлены ли необходимые исправления. Администраторам собственных серверов нужно обновить PHP и убедиться, что веб-приложения действительно работают на исправленной версии.

Разработчики PHP подчеркивают, что универсального способа полностью обезопасить уязвимую установку без обновления не существует. Временные ограничения на обработку запросов и дополнительные средства защиты могут снизить риск, но не устраняют причину проблемы.

Для обычных посетителей сайтов непосредственных действий не требуется: уязвимости находятся на серверной стороне, поэтому обновление браузера или смартфона их не исправит.

PHP2Shell показывает, как развитие искусственного интеллекта меняет ситуацию в сфере кибербезопасности. Исследователи получают возможность находить ошибки, которые оставались незамеченными годами. Однако те же инструменты могут помочь злоумышленникам быстрее создавать и совершенствовать способы атак.

В результате время между публикацией сведений об уязвимости и началом ее массовой эксплуатации может сокращаться. Для владельцев сайтов это означает, что своевременная установка обновлений становится еще важнее.

Подписывайтесь на наш Telegram-канал, чтобы быть в курсе всех новостей и событий Рунета.