Уязвимости PHP вынудили отключить госуслуги в Европе

21 октября разработчики PHP выпустили экстренные патчи, закрывающие две критические дыры в ядре языка программирования. Уязвимости, получившие общее имя PHP2Shell (CVE-2026-109618 и CVE-2026-109619), оцениваются в 9,2 балла по шкале CVSS и позволяют злоумышленникам удалённо выполнять произвольный код на сервере без какой-либо авторизации. Под удар попали ресурсы, составляющие около 70% всего интернета, включая миллионы проектов на WordPress, Drupal и Joomla.

Проблема кроется не в кривом коде конкретных CMS или плагинов, а в самом движке интерпретатора. При обработке критических ошибок и нехватке памяти PHP мог повторно использовать данные из уже освобождённых областей. Грубо говоря, система обращалась к «мусору» в оперативной памяти, что открывало прямой путь к чтению чужих паролей, API-ключей и полному захвату сервера. На практике это выглядит пугающе: даже идеально написанный сайт на свежем WordPress уязвим, если под ним крутится неподдерживаемая версия PHP.

Любопытная деталь расследования. Исследователи из Wiz Research и OpenAI использовали нейросети Gemini 4 Argon и GPT-5.6 Sol, чтобы превратить старые, казалось бы, тупиковые баги в рабочие эксплойты. То, на что у команды мирового уровня ушли бы месяцы, один специалист с ИИ-инструментами провернул за неделю. Однако патч задержался. Информация утекла, и 20 октября в сети появились идентификаторы уязвимостей с угрозой полного раскрытия кода 22-го числа. Разработчикам пришлось форсировать релиз на день раньше запланированного срока.

Рынок отреагировал мгновенно. Cloudflare зафиксировала активные попытки обхода файрвола с модифицированными вредоносными запросами ещё до выхода официальных исправлений. Власти действовали радикально. Нидерланды, Франция, Финляндия и Япония превентивно отключили часть государственных порталов. В Нидерландах, например, в офлайн ушли система цифровой идентификации DigiD, портал госуслуг MijnOverheid и сайт парламента. В России крупнейший хостинг «Рег.ру» временно заблокировал загрузку файлов на своих серверах, чтобы купировать вектор атаки, а «Битрикс24» ограничил функции облачного сервиса, восстановив их лишь к вечеру 21 октября.

Что делать прямо сейчас? Обновляться. Патчи уже вышли для веток 8.2.35, 8.3.36, 8.4.27 и 8.5.12. С версиями 8.1 и старше всё сложнее: официальная поддержка прекращена, и владельцам таких серверов придётся либо вручную латать дыры через поставщиков ОС, либо мигрировать на современные версии. Для легаси-проектов это часто означает недели тестов на совместимость и правку устаревшего кода.

Справедливости ради, одну из этих проблем заметили ещё в 2024 году. Но устранить её без поломки обратной совместимости и просадки производительности оказалось нетривиальной задачей. Только после демонстрации реальной эксплуатации в августе 2026-го приоритеты сместились, и исправление стало приоритетом первого уровня.

Миграция с устаревших веток PHP всегда была головной болью для системных администраторов. Теперь эта головная боль стала острой необходимостью. Кто не успеет обновиться до конца недели, рискует обнаружить свой сервер частью ботнета. Вопрос лишь в том, сколько таких систем останется в сети к понедельнику.

Никита Карпов

Главный редактор

Пишу о гаджетах, нейросетях и том, как технологии меняют нашу жизнь. Проверяю всё на себе, чтобы вы не тратили деньги зря.