В среду почти двадцатилетняя открытая веб-технология под названием PHP чуть не сломала интернет из-за двух уязвимостей, которые годами дремали, пока исследователи недавно не нашли способ их эксплуатировать. Баги получили название PHP2Shell, официально обозначенные как CVE-2026-109618 и CVE-2026-109619. Проще говоря, эти баги позволяют любому, кто умеет их использовать, проникнуть в онлайн-систему на PHP — будь то сайт или сервер, доступный из интернета, — без пароля, чтобы получить доступ к данным или изменить их. Ситуация выдалась довольно масштабной: миллионы людей по всему миру бросились латать свои системы, пока злоумышленники не успели этим воспользоваться.

PHP Foundation, которая поддерживает веб-софт PHP, в среду публично выпустила патчи, исправляющие эти баги; после установки они защищают веб-серверы от атак. Фонд заранее дал некоторым крупнейшим интернет-компаниям и веб-хостерам, использующим PHP, фору на установку патчей. Благодаря неделям закулисных переговоров и тщательной координации в отрасли мир — пока что — в целом избежал массовой эксплуатации в интернете. С среды правительства начали призывать граждан и компании с сайтами принимать меры для снижения рисков на своей стороне. Широкий круг отраслей закрыл свои сайты и отключил сервисы, чтобы установить заплатки. Банки, ритейлеры, игровые площадки, интернет-магазины, больницы и некоторые госучреждения отключили серверы для предотвращения атак. Но исследователи безопасности предупреждают, что ситуация ещё не закончилась: множество систем по всему миру остаются незапатченными и уязвимыми для взломов и кражи данных. И это вряд ли последний крупный переполох в интернет-софте — некоторые ожидают, что появление ИИ позволит быстро находить ещё не обнаруженные уязвимости, которые только ждут, чтобы их нашли и использовали.

Исследователи безопасности из Calif обнаружили два бага в PHP — языке программирования, широко используемом по всему миру для создания сайтов и веб-приложений как в интернете, так и локально в корпоративных сетях, например в интранетах и внутренних сайтах. PHP — открытый исходный код, то есть он бесплатен и доступен любому почти для любых целей. Поэтому он стал одним из самых популярных и широко используемых веб-языков программирования сегодня. Оба бага впервые обнаружили в 2024 году, но тогда их не сочли эксплуатируемыми и не исправили. Недавно исследователи безопасности нашли способ их эксплуатировать и сообщили производителям софта, чтобы те исправили проблему. Calif уведомила PHP Foundation, которая начала период исправления багов и скоординированного раскрытия. Фонд сделал это, предоставив информацию и патчи по эмбарго — по сути, держа их в секрете до определённого срока, — чтобы дать крупным компаниям возможность установить исправления заранее.

PHP2Shell довольно серьёзен, потому что его можно использовать удалённо через интернет и без необходимости жертве кликать по ссылке или открывать файл. Это называется удалённым выполнением кода, и это один из самых опасных типов багов, поскольку он может дать хакеру в любой точке мира фактически полный контроль над затронутой незапатченной системой. Хуже того, эти конкретные баги PHP позволяют проникнуть в любую незапатченную систему в интернете без пароля или каких-либо других учётных данных — так называемый неаутентифицированный доступ. Это позволило бы злоумышленнику затем внедрить вредоносное ПО на компьютер, например для кражи данных или просто для долгосрочного закрепления, чтобы вернуться позже.

Эти баги особенно рискованны, потому что PHP — безумно популярный софт, отчасти потому что он бесплатный и относительно простой в использовании, а также потому что существует уже десятилетия. Около 70% интернета, доступного извне, полагается на PHP, хотя его использование постепенно снижается в пользу более новых технологий.