В период с 21 по 23 октября 2026 года в сообществе кибербезопасности и среди пользователей программного обеспечения возникла острая проблема, связанная с обнаружением критических уязвимостей в языке программирования PHP и операционной системе Linux. События начались с публикации информации о двух серьезных ошибках в PHP, получивших обозначения CVE-2026-109618 и CVE-2026-109619. Эти баги позволяют злоумышленникам удаленно и без необходимости аутентификации выполнять произвольный код на серверах, где установлен уязвимый язык. Эксплуатация этих ошибок получила название PHP2Shell. Первые попытки использования эксплойта были зафиксированы еще до официального выхода исправлений от разработчиков PHP.
Уязвимости затрагивают широкий спектр систем, так как PHP является основой для работы большинства веб-сайтов в интернете. Под удар попадают популярные системы управления контентом, такие как WordPress, Drupal и Joomla, а также платформы электронной коммерции и системы управления обучением. По данным на момент публикации, наиболее подвержены риску версии PHP ниже 8.2.35, 8.3.36, 8.4.27 и 8.5.12. Угроза распространяется на различные среды исполнения, включая PHP-FPM, Apache с модулем mod_php, php-cgi, FrankenPHP и LiteSpeed. Особое внимание привлекает механизм session.upload_progress, который включен по умолчанию и может быть использован в цепочке атаки. Обе уязвимости получили высокую оценку 9,2 балла по шкале CVSS v4.0.
Параллельно с событиями в сфере PHP, в Европе начались массовые превентивные действия по отключению сайтов государственных учреждений, больниц и образовательных организаций. В Германии федеральный поставщик IT-услуг ITZBund временно отключил ряд веб-ресурсов. Во Франции Министерство внутренних дел приостановило работу сайтов префектур, а в Бельгии аналогичные меры приняло Министерство иностранных дел. В Нидерландах отключили доступ к сайтам порта Роттердама, правительственному порталу Overheid.nl, а также ресурсам национальной футбольной ассоциации и пяти крупнейших политических партий. В Финляндии государственный IT-центр Valtori временно вывел из работы правительственные веб-сервисы. Эти меры были приняты в качестве предосторожности до момента установки патчей, несмотря на то, что национальные центры кибербезопасности некоторых стран, например Бельгии и Финляндии, не зафиксировали попыток эксплуатации.
Обнаружение уязвимостей стало результатом работы нескольких организаций и технологий. Компания Calif выявила одну из ошибок с помощью модели искусственного интеллекта GPT-5.6 Sol в рамках инициативы Patch the Planet. Независимо от этого, компания Wiz, принадлежащая Google, также обнаружила обе критические уязвимости и уведомила разработчиков. По данным OpenAI, в течение двух месяцев шла координация усилий между исследователями, разработчиками и специалистами по безопасности для подготовки защитных мер до публичного раскрытия информации. Разработчики PHP оперативно выпустили обновления для всех поддерживаемых веток продукта.
Для защиты инфраструктуры эксперты и разработчики рекомендуют немедленно обновить PHP до версий 8.5.12, 8.4.27, 8.3.36 или 8.2.35. Организации, использующие устаревшие версии, такие как 7.4, 8.0 и 8.1, могут воспользоваться минимальными бэкпортами исходного кода, подготовленными разработчиками для самостоятельной сборки. Если обновление невозможно выполнить сразу, рекомендуется временно отключить затронутые системы или применить временные меры защиты. Решения «Лаборатории Касперского», такие как Kaspersky Endpoint Detection and Response Expert и Kaspersky Anti Targeted Attack (KATA), способны детектировать попытки эксплуатации описанных уязвимостей в сетевом трафике и на серверах под управлением Linux и Windows. В настоящее время компания Cloudflare уже наблюдает первые атаки, связанные с этими брешами, что подтверждает эффективность эксплойтов PHP2Shell в реальных условиях.