21 октября 2026 года разработчики языка программирования PHP выпустили срочные обновления для устранения двух критических уязвимостей, получивших общее название PHP2Shell. Эти ошибки позволяют злоумышленникам удаленно запускать произвольный код на серверах без аутентификации, что создает прямую угрозу утечки конфиденциальных данных, таких как пароли, токены сессий и ключи доступа. Уязвимости были оценены экспертами на 9,2 балла из 10 по шкале CVSS 4.0, что свидетельствует об их крайне высокой опасности.
Открытие слабостей в коде произошло благодаря искусственному интеллекту. Одна из уязвимостей была выявлена исследователями из компании Calif с помощью модели GPT-5.6 Sol в рамках инициативы Patch the Planet еще в июле, а вторая была обнаружена независимо компанией Wiz, принадлежащей Google. В OpenAI также подтвердили, что их нейросети помогли найти эти ошибки, которые, по мнению специалистов, не замечались более десяти лет. Это стало доказательством того, что ИИ способен находить критические дефекты в широко используемом программном обеспечении, которые упустили человеческие эксперты.
После публикации информации о дырах в коде количество попыток их эксплуатации выросло экспоненциально. Генеральный директор Cloudflare Мэттью Принс сообщил, что уже через 45 минут после объявления об уязвимостях число атак достигло десятков тысяч, а вскоре исчисляется миллионами. Атаки фиксировались даже до официального раскрытия информации: система мониторинга MadPot зафиксировала попытки эксплуатации 17 октября, а компания VulnCheck зафиксировала подключения к приманкам с IP-адресов из Канады, Нидерландов и Китая. В ответ на угрозу крупные технологические компании, включая Google, OpenAI и Amazon, активировали дополнительные меры защиты, а специализированные сервисы развернули системы-приманки для отслеживания злоумышленников.
Масштаб проблемы обусловлен огромной распространенностью PHP. Согласно данным аналитического портала W3Techs, на этот язык работают 69,3% всех сайтов в мире и 90,8% сайтов с контентом на русском языке. Среди пользователей — гиганты вроде Wikipedia, Facebook, Slack, а также государственные ресурсы, включая сайты Белого дома и NASA. В России под угрозой оказались десятки тысяч ресурсов, включая сайты на системах управления содержимым WordPress, Drupal, Joomla, Magento и «1С-Битрикс». Эксперты подчеркивают, что проблема находится именно в ядре PHP, поэтому обновление самой CMS или веб-сервера недостаточно — необходимо обновить сам язык программирования до версий 8.5.12, 8.4.27, 8.3.36 или 8.2.35.
В ответ на угрозу власти и специалисты по кибербезопасности призвали организации к немедленным действиям. Агентство национальной безопасности США рекомендовало либо срочно установить патчи, либо полностью отключить системы, работающие на уязвимых версиях PHP. Аналогичные предупреждения поступили от ведомств Великобритании, Сингапура, Австралии, Канады и Европейского союза. В Европе ряд сайтов государственных органов, больниц и других организаций временно приостановил работу в качестве меры предосторожности. В России крупные хостинг-провайдеры начали уведомлять пользователей об угрозе, а эксперты рекомендовали сделать резервные копии данных, сменить пароли и использовать веб-фильтры (WAF) для блокировки вредоносных запросов до момента установки обновлений. Некоторые сервисы, включая Pinboard и ряд ресурсов Википедии, также временно отключились. Эксперты предупреждают, что процесс обновления может занять время из-за сложности зависимостей, и после этого могут последовать новые волны атак на не обновившиеся серверы.