Гаага / Вашингтон, 21 октября. Разработчики языка программирования PHP выпустили срочные исправления двух критических уязвимостей, которые дают злоумышленникам возможность удалённо запускать код на сервере, а государственные сайты из предосторожности временно отключали в 13 странах, следует из подсчётов ТАСС.
Уязвимости получили номера CVE-2026-109618 и CVE-2026-109619. По описанию разработчиков, это ошибки работы с памятью и устаревшее внутреннее состояние, которое может сохраняться между запросами; воспользоваться ими можно без авторизации, и потенциально под угрозой любая установка PHP, которая обрабатывает веб-запросы. PHP работает на стороне сервера: принимает запрос посетителя, собирает нужные данные и отправляет готовую страницу в браузер. На нём построены сайты на WordPress, Drupal, Joomla и Magento.
Агентство национальной безопасности США попросило организации готовиться к немедленному обновлению: по его оценке, такие уязвимости часто открывают прямой путь к файлам сервера или базе данных, а если обновиться сразу нельзя, систему лучше отключить, пока угрозу не устранят. Киберподразделение ФБР призвало обновить PHP, составить перечень систем, где он работает, начать с серверов, доступных из интернета, и следить за подозрительной активностью — например, за процессами PHP, которые неожиданно запускают командную оболочку или скачивают файлы.
Найти ошибки помог искусственный интеллект. По данным OpenAI, которые приводит РБК, одну из уязвимостей выявили с помощью модели GPT-5.6 Sol по инициативе Patch the Planet, а два месяца компания вместе с исследователями, разработчиками и специалистами по кибербезопасности готовила исправления до публичного раскрытия.
Отключения прокатились по Европе. В Нидерландах, по данным Reuters, которые приводит «Курсив», Национальный центр кибербезопасности приостановил работу своих систем; отключили правительственный портал Overheid.nl, сайты порта Роттердама, футбольной ассоциации KNVB, пяти крупнейших политических партий и нескольких больниц. В Дании ограничения затронули национальную платформу для обмена информацией между школами, в Финляндии государственный поставщик ИТ-услуг Valtori профилактически отключил общедоступные государственные онлайн-сервисы, МВД Франции перевело свои сайты в режим технического обслуживания, а организация, которая поддерживает Википедию, временно отключила часть систем. Япония приостановила работу нескольких сайтов, в том числе государственных сервисов, а Япония и Австралия призвали срочно обновиться.
На время обновления ненадолго закрылся даже Интернет-архив — онлайн-библиотека, которая хранит копии чужих веб-страниц.
В России, по словам руководителя центра разработки больших языковых моделей MWS AI Валентина Малых, под угрозой могут оказаться десятки тысяч сайтов. Казахстанские сайты на PHP уязвимости тоже потенциально затрагивают, однако сообщений о полном отключении местных сервисов, как отмечает «Курсив», пока нет.
В чём суть: Ошибки в языке, на котором работает значительная часть сайтов, нашли с помощью ИИ, и правительства ряда стран предпочли временно выключить свои сайты, пока ставятся исправления. Опасность сохраняется для тех, кто не обновится: опубликованные исправления помогают злоумышленникам понять, как устроена ошибка.
Кому это выгодно: Больше всего, по оценке экспертов, рискуют небольшие сайты, у владельцев которых мало технических ресурсов: на общем хостинге серверные обновления обычно ставит провайдер, и владельцы зависят от его скорости. Компания Automattic заявила, что пользователи её хостинга, включая WordPress.com и Tumblr, защищены. Технологические компании предупреждают, что хакеры уже начали использовать найденные ошибки.
Бэкграунд: Уязвимости годами оставались незамеченными, пока специалисты не нашли их с помощью ИИ, но тот же ИИ, по оценке экспертов, может ускорить и их использование хакерами. «Эта проблема затрагивает большую часть интернета», — заявила исполняющая обязанности генерального директора Ассоциации Drupal Тиффани Фаррисс.
Список использованных источников: Anadolu, ТАСС, Курсив, РБК
При подготовке материала использовался искусственный интеллект.
