Фонд The PHP Foundation, обеспечивающий финансирование ключевых разработчиков языка PHP, объявил об обнаружении в нем двух критических уязвимостей, позволяющих удаленно выполнять на сервере посторонний код без авторизации, и о выпуске заплат, установка которых для организаций является «крайней необходимостью».

Согласно объявлению, по стандартной шкале CVSS уязвимостям CVE-2026-109618 и CVE-2026-109619, получившим общее название PHP2Shell, присвоен уровень опасности 9,2 балла из 10 возможных. The PHP Foundation подчеркивает, что бреши затрагивают все конфигурации PHP, применяемые для обслуживания веб-запросов, но наибольшему риску подвержены веб-серверы Apache с реализацией mod_php, поскольку на них для запуска эксплойта достаточно отправки специально подготовленного HTTP-запроса без авторизации.

По данным W3Techs, скриптовый язык PHP применяется на 70% всех веб-сайтов. Львиную долю инсталляций ему обеспечивает система управления контентом Wordpress, на которой работают 43% сайтов в мире. PHP является основой и других популярных CMS-систем, а также компонентов корпоративного мессенджера Slack, системы видеоконференций Zoom и не только. Специалисты по безопасности предупреждают, что помимо того PHP используется в сетевых устройствах, программно-аппаратных комплексах и различных интерфейсах управления, где администраторы не всегда могут установить обновление напрямую. Кроме того, уязвимости могут быть подвержены многие коммерческие и открытые программные продукты, в которых PHP используется для реализации внутренних функций, хотя непосредственно в интернет и не «смотрит».

Уязвимости затрагивают базовые механизмы PHP, присутствующие в коде начиная с версии 5.4, то есть существуют уже более 14 лет. Одна из них может привести к выполнению постороннего кода путем повреждения системной памяти из-за искусственно вызванной ее нехватки, другая — из-за ошибочного повторного применения сервером устаревших данных от предыдущих запросов.

Первые подозрения касательно первой бреши появились еще в 2024 году — при ручном аудите было выявлено нештатное поведение обработчика при нехватке памяти. Но в то время сочли, что эксплойт будет создать слишком сложно, и исправление отложили. Теперь же исследователи с помощью средств ИИ нашли вариант эксплойта, который гарантированно срабатывает. Параллельно, тоже при поддержке ИИ, была найдена и вторая уязвимость. Ввиду схожести конечного результата (взломщик получает доступ к командной строке) их решили объединить под общим названием.

По сообщению The PHP Foundation, актуальные версии языка, содержащие исправления — PHP 8.5.12, 8.4.27, 8.3.36 и 8.2.35. Поставщики дистрибутивов Linux получили заплаты заранее. Эксперты предупреждают, что одной установки обновлений мало, необходимо провести глубокий аудит систем, идентифицировать все компоненты, где работает PHP и помимо оперативной установки патчей провести проверку на признаки компрометации.

Ввиду экстренной ситуации многие крупные сайты по всему миру, в том числе правительственные, были превентивно отключены для принятия мер по устранению уязвимостей. Временно приостановил работу даже сервис управления проектами и отслеживания ошибок «Википедии», хотя ядро самой энциклопедии, тоже написанное на PHP, работу продолжило.

Ситуация осложнилась тем, что за день до официального выпуска заплат информация о критических уязвимостях начала циркулировать на хакерских ресурсах, по-видимому, в результате утечки. В публичных репозиториях сразу появились скрипты для «демонстрации концепции» эксплойта, многие из которых оказались неработоспособными, однако были зафиксированы и реальные атаки и факты сканирования интернета на уязвимые реализации PHP, в том числе с помощью ИИ-ботов, что стало еще одним фактором срочности установки заплат. В связи с применением ИИ «с обеих сторон» — как исследователями, так и злоумышленниками, специалисты предостерегают о вероятности того, что «радиус взрыва», возникшего в результате обнаружения брешей, в итоге может оказаться гораздо шире, чем кратковременное массовое отключение сайтов.