У PHP знайшли дві критичні вразливості для сайтів
Дві помилки в PHP дозволяли віддалено атакувати сервери без пароля. Після виходу патчів частина компаній і установ терміново оновлювала системи.
У середу відкриті вебсайти та сервери по всьому світу опинилися під загрозою через дві вразливості в PHP — одній із найпоширеніших технологій для створення сайтів і вебдодатків. Ситуація виявилася настільки серйозною, що багато компаній і установ терміново почали оновлювати системи, а частина сервісів тимчасово вимикала сервери. Йшлося не просто про технічний збій, а про ризик віддаленого злому без пароля. Саме це й зробило інцидент помітним для великої частини інтернет-інфраструктури.
Дві помилки в PHP роками вважали непридатними для атаки
Дослідники безпеки з Calif знайшли в PHP дві помилки, які отримали назву PHP2Shell і офіційні позначення CVE-2026-109618 та CVE-2026-109619. За даними джерела, самі баги були відомі ще з 2024 року, але тоді їх не вважали придатними для експлуатації, тому патчів не випускали.
Лише нещодавно дослідники змогли знайти спосіб використати ці вразливості на практиці. Після цього вони попередили PHP Foundation — організацію, яка підтримує PHP, — і почалася координація виправлень. Патчі опублікували в середу, а до того найбільші інтернет-компанії та хостинг-провайдери отримали ранній доступ до інформації, щоб встигнути підготуватися.
PHP2Shell дають змогу виконувати код на сервері без пароля
Проблема в тому, що вразливості дозволяють атакувати сервери віддалено через інтернет і без введення пароля чи інших облікових даних. Такий тип атаки називають remote code execution — тобто виконанням коду на чужій системі. Для зловмисника це може означати фактичний контроль над незахищеним сервером.
Як повідомляють Новини IT-PUB, через ці баги атакувальник може не лише проникнути в систему, а й встановити шкідливе програмне забезпечення, викрасти дані або закріпитися в інфраструктурі надовго. Саме тому реакція була такою швидкою: у випадку з PHP2Shell йшлося не про локальну помилку, а про потенційно широкий ризик для інтернет-сервісів.
Чому проблема зачепила значну частину вебу
PHP залишається дуже популярним, бо це безкоштовна й відносно проста у використанні мова, яка існує вже десятиліттями. За оцінкою з джерела, близько 70% веб-орієнтованого інтернету так чи інакше спирається на PHP. Хоча його використання поступово зменшується на користь новіших мов, масштаб впливу все ще дуже великий.
На PHP працюють або залежать від нього деякі дуже відомі платформи, зокрема WordPress, Drupal, Joomla та MediaWiki, яка лежить в основі Wikipedia. Тому проблема зачепила не лише розробників, а й звичайних користувачів, які щодня заходять на сайти, побудовані на цій технології. У джерелі також підкреслюється, що PHP — лише один із прикладів старіючих, але критично важливих технологій, на яких тримається велика частина інтернету.
Після виходу патчів частина сервісів тимчасово зупинила роботу
Після публікації патчів уряди почали закликати громадян і компанії вживати заходів для зменшення ризиків. У різних галузях тимчасово вимикали сайти й сервіси, щоб встановити оновлення. Серед них були банки, ритейлери, ігрові сайти, онлайн-магазини, лікарні та деякі державні установи.
Такий крок виглядав незвично, але мав практичну мету: краще короткочасно зупинити роботу, ніж залишити відкритий шлях для атаки. Водночас джерело зазначає, що ситуація ще не завершена. Значна кількість систем у світі все ще не оновлена, а отже залишається вразливою до зламу та крадіжки даних.
Сліди експлуатації помітили ще до офіційного розкриття
Попри спроби втримати деталі в секреті до середи, є ознаки того, що PHP2Shell могли почати використовувати ще до офіційного виходу виправлень. Amazon повідомила, що зафіксувала ознаки експлуатації приблизно за тиждень до появи патчів. Компанія не змогла сказати, як саме атакувальники дізналися про вразливості, але порадила шукати сліди компрометації ще з 17 жовтня.
У джерелі названо кілька можливих пояснень: витік інформації під час ембарго, збій у комунікації, самостійне виявлення багів зловмисниками або навіть шпигунство. PHP Foundation, зі свого боку, звинуватила одну компанію в тому, що вона випустила патчі у відкритий доступ за кілька годин до завершення ембарго. Але це не пояснює всі зафіксовані спроби атак.
Пізніше, станом на кінець п’ятниці, Palo Alto Networks і Trail of Bits підтвердили вже не лише спроби, а й компрометації та постексплуатаційну активність, пов’язану з PHP2Shell. Інакше кажучи, вразливість уже використали для реального злому та подальших дій на цільових системах.
Після розкриття інформації спроб атак стало більше
Попри відсутність ознак масової атаки, дослідники попереджають, що небезпека не минула. Cloudflare повідомила про різке зростання спроб експлуатації після розкриття інформації. Це означає, що зловмисники дуже швидко намагаються використати нові слабкі місця, щойно про них стає відомо.
Особливо вразливими залишаються невеликі IT-команди, окремі розробники та системи, які оновлюються повільно. PHP використовується не лише на сайтах, а й у розробницьких інструментах, пакетах для командного рядка, а також у компонентах для роутерів, сховищ даних і корпоративних засобів безпеки, зокрема firewall і VPN. Через це наслідки можуть тягнутися довго, особливо в застарілих системах, які вже не мають можливості оновлення.
У джерелі також проводять паралель із ширшою тенденцією: старі технології, які досі тримають значну частину інтернету, залишаються вразливими до класу атак, пов’язаних із пам’яттю. На цьому тлі все частіше говорять про перехід до memory-safe мов, таких як Python, Rust і Swift. Але поки що великий шмат інтернету все ще працює на старому фундаменті — і помилка в ньому може мати наслідки далеко за межами одного сайту чи однієї компанії.
