Сотни миллионов сайтов оказались под угрозой взлома из-за уязвимостей в языке программирования PHP. Насколько это опасно? И угрожает ли что-то лично вам?

21 октября команда разработчиков языка программирования PHP сообщила, что обнаружила две уязвимости. По шкале CVSS они получили оценку 9,2 из 10 — это соответствует критическому уровню. Найденные уязвимости позволяют злоумышленникам удаленно выполнять код на сервере без авторизации. В результате те могут получить несанкционированный доступ к файлам и базам данных, внедрить вредоносный код или изменить содержимое сайта, перенаправить трафик на сторонние ресурсы, использовать сервер для DDoS-атак или спам-рассылок.

Из-за этих уязвимостей под угрозой взлома оказалось почти 70% всех сайтов в интернете. Именно столько ресурсов, по оценке сервиса W3Techs, используют язык PHP. Разработчики настоятельно рекомендуют срочно установить обновления. Они уже выпущены для версий PHP 8.2 и выше.

2

Что вообще за PHP?

Это скриптовый язык с открытым исходным кодом, созданный датским программистом Расмусом Лердорфом в 1995 году. На нем работает серверная часть многих сайтов и онлайн-сервисов. Сейчас развитием языка занимается несколько сообществ, среди которых официальная группа независимых разработчиков PHP Group (в нее входит Лердорф), некоммерческая организация The PHP Foundation и независимые контрибьюторы.

У PHP не самая хорошая репутация в профессиональной среде, хотя причины тому довольно странные. Например, у этого языка низкий порог входа для новичков, что в целом можно считать плюсом. Но из-за этого на PHP написано много плохого кода. И вообще сложилось мнение, что он не подходит для сложных систем (хотя это не так). Также язык давно критикуют за непоследовательность и нелогичность — следствие его хаотичного развития.

Тем не менее, PHP остается популярнее конкурентов: он создавался именно для веб-разработки, он прост и вокруг него сформировалась огромная экосистема. Кроме того, именно на PHP изначально создавались многие крупные интернет-ресурсы (к примеру, фейсбук), и многие из них продолжают работать на этом языке, чтобы не тратить огромные ресурсы на полное переписывание кода.

3

И в чем суть найденных уязвимостей?

Обе уязвимости связаны с путаницей в памяти сервера. Из-за ошибок в коде PHP злоумышленник может обманом заставить систему принять вредоносные данные за безопасные.

• В первом случае система некорректно обрабатывает запрос и аварийно завершает работу. При попытке очистить память возникает сбой, который открывает доступ к удаленному управлению сервером.
• Во втором случае в памяти сервера случайно остаются «хвосты» данных от предыдущего пользователя. Из-за этого новый запрос обрабатывается с ошибкой, что снова открывает лазейку для запуска вредоносных программ.

Как насчет поздравить «Медузу» с днем рождения? Помогайте делать любимое издание лучше — вылавливайте опечатки! Если заметили ошибку на сайте — выделите ее и нажмите Ctrl + Enter. Появится форма, куда можно написать, что не так. Мы увидим, исправим и порадуемся, что делаем «Медузу» вместе! Другие способы нас поздравить ищите тут.

4

Как нашли эти уязвимости?

Уязвимости обнаружили эксперты из двух разных команд независимо друг от друга. В августе 2026 года их нашел исследователь компании Calif Райан Остин с помощью ИИ-модели GPT‑5.6 Sol. Параллельно эти же проблемы выявили сотрудники компании Wiz и сообщили о них разработчикам языка РНР. Они тоже использовали ИИ-системы, включая модели Gemini 4 Argon и GPT-5.6 Sol, а также собственный инструмент Wiz Atlas.

В заявлении OpenAI говорится, что команда разработчиков PHP в течение двух месяцев работала над устранением найденных уязвимостей совместно с партнерами из Wiz, Cloudflare и других компаний. Их задачей было выпустить обновление до того, как о проблеме станет широко известно и ее начнут массово использовать для кибератак.

При этом в блоге The PHP Foundation рассказали, что признаки одной из уязвимостей обнаружили еще в 2024 году — в результате внешнего аудита безопасности. Тогда появилась теория, что ошибку с нехваткой памяти могут использовать злоумышленники. Однако разработчики не нашли конкретных векторов для потенциальных кибератак и переключились на устранение более явных угроз. Глава Calif Таи Дуонг в комментарии WSJ утверждает, что проблема в коде присутствовала десятки лет.

5

Они действительно так опасны?

В OpenAI заявляют, что найденные уязвимости — одна из наиболее масштабных угроз кибербезопасности последнего времени. С этим согласен Фолькер Душ, инженер по безопасности, который работает над проектом PHP. По его словам, это самая серьезная проблема, с которой язык программирования столкнулся более чем за 10 лет.

Душ считает, что произошедшее можно сравнить с ошибкой Heartbleed в криптографической библиотеке OpenSSL, которая позволяла красть закрытые ключи серверов. Об этой проблеме стало известно в 2014 году, и на тот момент под угрозой атаки находилось около полумиллиона сайтов. То есть примерно 17% всех защищенных веб-серверов.

6

И кто находится под угрозой?

Можно подумать, что в первую очередь обнаружение уязвимостей в PHP — проблема исключительно системных администраторов. Однако это не так. Во-первых, злоумышленники могут атаковать уязвимый сайт и похитить персональные данные пользователей. Во-вторых, они могут изменить содержимое ресурса. В этом случае пользователь зайдет на привычный сайт, но станет жертвой фишинговой атаки. Или же на его устройство попадет зараженное программное обеспечение.

Наконец, подобные критические уязвимости могут отражаться на доступности сайтов. К примеру, в нынешнем случае некоторые правительственные учреждения в Бельгии, Великобритании, Дании, Нидерландах, Финляндии и Франции были вынуждены на какое-то время отключить свои общедоступные сайты и сервисы. Подобные меры были предприняты более чем в десятке стран. Еще в ряде государств ограничились рекомендациями по отключению ресурсов.

В России о временных ограничениях на загрузку файлов в связи с проблемами PHP сообщал «Рег.ру», один из крупнейших регистраторов доменных имен и хостинг-провайдеров. Также свой сайт временно отключал канал «Дождь».

7

Но если уязвимость исправили, чего бояться?

Наличие обновления вовсе не означает, что системные администраторы сразу всех компаний и организаций оперативно его применят. По статистике, на июль 2026 года в мире насчитывалось почти полмиллиарда сайтов. Но лишь 216 миллионов считались активными. То есть их продолжают поддерживать и регулярно обновлять. Высок риск того, что человек зайдет на какой-нибудь забытый сайт и станет жертвой кибератаки.

Ситуация осложняется тем, что язык PHP используется многими платформами для создания сайтов. Например, на долю самой популярной — WordPress — приходится более 58% рынка. В России аналогом можно считать «1С-Битрикс», хотя эта платформа создана в первую очередь для корпоративных клиентов. Для россиян, кстати, риски еще выше, так как PHP используют более 90% всех сайтов в рунете.

Наконец, важно учитывать, что довольно большое количество сайтов используют старые версии PHP — например, 8.1 и ниже. Их официальная поддержка уже завершена, а переход на новые версии часто требует переписывания старого кода. Хотя в этом случае разработчики сделали исключение и выпустили патчи для старых версий, их установка на серверах может оказаться сложной и занять немало времени.