Почему уязвимости в PHP затрагивают миллионы сайтов и как защититься от атак. Обзор "РГ"

Уязвимости в одном из самых популярных языков программирования - PHP - коснулись практически любого веб-сервера. Недостатки безопасности позволяют злоумышленнику без логина и пароля выполнить свой код на сервере и потенциально захватить над ним контроль. В итоге он может проникнуть во внутреннюю сеть организации, захватить другие системы и использовать их для дальнейших атак. Опасность каждой из них оценили в 9,2 балла из 10. В России они могут затрагивать около полумиллиона ресурсов и уже зафиксированы в атаках. Почему критические уязвимости PHP затрагивают миллионы сайтов и как бизнесу защититься от атак - объясняет Александр Леонов, ведущий эксперт по управлению уязвимостями Positive Technologies.

В опасности может быть каждый

PHP - один из наиболее распространенных языков программирования в интернете. На нем работают сайты на WordPress, Drupal и Joomla, а также множество других веб-проектов и приложений. Поэтому критические уязвимости в PHP - это не узкая проблема разработчиков, а потенциальный риск для широкого круга организаций, использующих веб-сервисы.

21 октября команда безопасности PHP выпустила обновления для устранения двух критических уязвимостей - CVE-2026-109618 и CVE-2026-109619, известных в контексте цепочки эксплойтов PHP2Shell. Обе получили оценку 9,2 из 10 по шкале CVSS 4.0 (актуальная международная система оценки серьезности компьютерных уязвимостей) и, согласно опубликованным описаниям, позволяют злоумышленнику выполнять произвольный код на сервере без аутентификации. Это может привести к полному компрометированию уязвимого сервера: краже баз данных, паролей, токенов доступа и других конфиденциальных данных, изменению содержимого сайтов и установке вредоносного ПО. Через скомпрометированный сервер атакующий может проникнуть во внутреннюю сеть организации, захватить другие системы и использовать их для дальнейших атак, в том числе для развёртывания программ-вымогателей, которые шифруют файлы и требуют выкуп за восстановление доступа к данным. Риск особенно высок для PHP-серверов, доступных из Интернета.

Сегодня речь идет об уязвимостях в 500 тыс. ресурсов в Рунете

Масштаб потенциальной угрозы определяется распространённостью технологии. По данным аналитической платформы W3Techs, PHP используется на 90,9% сайтов, для которых известен серверный язык программирования и которые используют русский язык в качестве языка контента. Ориентировочно речь идёт о 500 тыс. ресурсов в Рунете. При этом использование PHP само по себе не означает уязвимость сайта: риск зависит от версии PHP, конфигурации, используемых компонентов и своевременности установки обновлений безопасности. Тем не менее высокая распространённость технологии указывает на потенциально широкий масштаб последствий эксплуатации соответствующих уязвимостей.

Речь не только о веб-сайтах

Поскольку PHP используется не только на веб-серверах, но и в составе инфраструктурных решений, потенциальная поверхность атаки значительно шире обычных сайтов. Уязвимости CVE-2026-109618 и CVE-2026-109619 затрагивают продукты, использующие PHP, включая межсетевые экраны, системы управления сетевой безопасностью и платформы развёртывания приложений. Их влияние подтвердили Palo Alto Networks для PAN-OS - операционной системы межсетевых экранов, и Panorama - централизованной платформы управления сетевыми устройствами, а также Netgate для pfSense - операционной системы для маршрутизаторов и межсетевых экранов. Разработчики Coolify, платформы для развёртывания и управления приложениями на собственных серверах, подтвердили затронутость всех веток версии 4.x. Cisco и Sophos расследуют возможное влияние уязвимостей на свои продукты.

Без пароля - прямо на сервер

Опасность подобных уязвимостей заключается в возможности их эксплуатации без предварительной аутентификации в приложении или на сервере, а также без необходимости предварительной эксплуатации других уязвимостей приложения. При определённых условиях достаточно отправить специально сформированный запрос к уязвимому серверу. Если эксплуатация успешна, злоумышленник может получить возможность выполнять команды на стороне сервера. Конкретные последствия зависят от конфигурации системы и прав, с которыми работает PHP.

В одном случае проблема возникает при нехватке памяти, когда данные запроса могут оставаться частично инициализированными. В другом - когда после освобождения памяти сохраняются устаревшие данные, которые могут повлиять на обработку следующего запроса. Для владельца сайта технические детали не так важны, как практический вывод: проблема находится на уровне самого PHP и не сводится к ошибке в конкретном приложении.

Охота за уязвимыми серверами началась

Злоумышленники уже начали использовать уязвимости в атаках. 21 октября технический директор Cloudflare Дейн Кнехт сообщил, что компания наблюдает первые признаки атак и обновляет защитные механизмы по мере появления новых векторов. В открытом доступе также распространяется код для эксплуатации уязвимостей, хотя работоспособность всех опубликованных образцов не подтверждена. Это повышает значимость оперативного реагирования: организациям не стоит ждать, пока появятся подробные инструкции по массовой эксплуатации.

Роль искусственного интеллекта

Искусственный интеллект сыграл заметную роль в обнаружении и исследовании уязвимостей PHP. 11 августа 2026 года OpenAI независимо выявила первопричину CVE-2026-109618, о которой в тот же день сообщила компания Calif. Ранее PHP Foundation совместно с Alpha-Omega сканировала исходный код PHP с помощью модели Anthropic Claude Mythos. Для проверки отчётов об уязвимостях и эксплойтов также применялся OpenAI Daybreak Red - специализированный инструмент для авторизованных исследований в области кибербезопасности. При этом ИИ не заменяет специалистов: люди проверяют результаты, принимают решения и разрабатывают исправления. С учётом развития таких инструментов можно ожидать обнаружения новых критических уязвимостей, в том числе в давно существующем программном обеспечении.

Как защитить свою компанию

В первую очередь необходимо определить, где именно в инфраструктуре используется PHP, включая серверы, контейнеры и приложения, о которых могли забыть после запуска проекта. Затем следует установить исправленные версии: PHP 8.5.12, 8.4.27, 8.3.36 или 8.2.35 - в зависимости от используемой ветки и доступности обновлений. Пользователям Linux стоит проверить наличие исправленных пакетов у поставщика дистрибутива. Если обновление невозможно выполнить немедленно, необходимо оценить доступные компенсирующие меры и усилить мониторинг, понимая, что они не заменяют патч.

Отдельного внимания требуют устаревшие версии. PHP 8.1 и более ранние ветки больше не получают стандартных обновлений безопасности от основной команды PHP. Для них необходимо проверить доступность исправлений от поставщика или организовать переход на поддерживаемую версию. Сам факт того, что приложение продолжает работать, не означает, что его технологическая основа остается безопасной.

В более защищенной позиции оказываются компании, которые защищают свой веб-периметр решениями класса WAF (Web Application Firewall). Такие инструменты блокируют нелегитимные запросы извне и попытку эксплуатации уязвимости. Важно, чтобы разработчик WAF смог быстро отреагировать на новую угрозу и занести в продукт знания о ней и логику защиты. Так, например, защита от эксплуатации PHP2Shell появилась в PT AF Cloud, продукте Positive Technologies, автоматически еще до первых каких-либо подтвержденных атак через новую уязвимость.

На фоне появления новых данных об эксплуатации PHP2Shell важно оперативно оценивать, какие системы в инфраструктуре могут быть подвержены риску. Системы управления уязвимостями, например MaxPatrol VM, помогут обратить внимание на эту угрозу: уязвимости PHP2Shell отмечены в продукте как трендовые. Специалисты смогут учитывать их при анализе защищённости инфраструктуры и планировании работ по устранению уязвимостей. Зафиксировать попытки эксплуатации уязвимости могут продукты класса NTA/NDR, например, PT NAD, а также межсетевые экраны нового поколения, такие как PT NGFW.

Появление PHP2Shell напоминает о других громких уязвимостях, которые в своё время поставили под угрозу тысячи организаций по всему миру. Например, Log4Shell, обнаруженная в 2021 году в популярной библиотеке Apache Log4j, которую используют многие приложения и сервисы. Она позволяла злоумышленникам при определённых условиях удалённо запускать команды на уязвимых серверах, что создавало риск кражи данных, установки вредоносного ПО и получения контроля над системами. Из-за широкого распространения Log4j уязвимость потребовала срочной реакции от организаций по всему миру. Такие случаи показывают, как уязвимость в одном распространённом компоненте может стать масштабной угрозой для множества организаций.

Компаниям необходимо помнить о важном принципе информационной безопасности: защищать нужно не только собственный код, но и всю технологическую цепочку, на которой он работает. Уязвимость в широко используемом компоненте может одновременно создать риски для множества независимых компаний. Поэтому своевременное обновление, инвентаризация инфраструктуры и контроль устаревшего программного обеспечения - не формальность, а необходимая часть защиты бизнеса.