AI ASSISTANTPHP2Shell: дві критичні вразливості в PHP поставили під загрозу більшість сайтів
Команда PHP закрила дві вразливості, що дозволяють захопити вебсервер одним запитом без пароля. Атаки йдуть мільйонами, а знайти спосіб експлуатації старих помилок допоміг ШІ.
Що сталося
21 жовтня команда PHP випустила термінові оновлення, які закривають дві критичні вразливості — CVE-2026-109618 і CVE-2026-109619, їх уже прозвали PHP2Shell. Обидві дають змогу виконати чужий код на вебсервері без входу в систему, оцінка небезпеки — 9,2 з 10. Виправлення є у версіях PHP 8.5.12, 8.4.27, 8.3.36 і 8.2.35.
Масштаб пояснює, чому про це пишуть навіть загальні видання. За деякими оцінками, PHP так чи інакше використовують до 70% сайтів: на ньому працюють WordPress, Drupal, «Вікіпедія». Тимчасово вимикалися DeviantArt, 4chan, Internet Archive, сервіси Pokémon, а також сайти частини урядових установ Нідерландів і Фінляндії. Британський NCSC і кіберпідрозділ АНБ радять відключати системи, які неможливо оновити одразу.
Кого це зачіпає
Під загрозою будь-яка інсталяція PHP, що обслуговує вебзапити: PHP-FPM, Apache з mod_php, php-cgi, FrankenPHP, LiteSpeed. Найризиковіший варіант — mod_php. За даними Help Net Security, робочий експлойт спрацьовує одним запитом без авторизації ще до того, як виконується код самого застосунку, тож захист у CMS чи плагінах тут не допомагає.
Окрема проблема — старі версії. Вразливість існує приблизно 20 років, з PHP 5. Для 7.4, 8.0 і 8.1 команда PHP опублікувала лише вихідні патчі для самостійного збирання, для 7.3 і старіших виправлень немає — тільки через постачальників платної розширеної підтримки. Palo Alto Networks уже підтвердила, що вразливі всі версії PAN-OS і Panorama, тобто проблема сидить і всередині готових продуктів.
Атаки вже йдуть
За словами CEO Cloudflare Метью Прінса, ще за 10 годин до оголошення мережа компанії бачила тисячі спроб атак, за дві години після — сотні тисяч, а до ночі — мільйони. Amazon Threat Intelligence зафіксувала спробу експлуатації на своїй пастці-ханіпоті ще 17 жовтня, за чотири дні до розкриття. Як зловмисник отримав деталі заздалегідь, невідомо. Виконавча директорка PHP Foundation Елізабет Беррон сказала The Verge, що успішних атак із виконанням коду фонд поки не бачив, але оновлення назвала обов'язковим.
До чого тут ШІ
Помилки в коді PHP жили десятиліттями, але перетворити їх на атаку було надто складно. У Wiz пояснюють: для цього потрібен був ланцюжок кроків «на межі того, що дослідники-люди здатні виконати на практиці», а сучасні моделі ШІ цей бар'єр суттєво знизили. OpenAI повідомила, що дослідник компанії Calif знайшов експлойти за допомогою GPT-5.6 Sol раніше за зловмисників. Це той самий інструмент, яким можуть скористатися й атакувальники, тож старий код тепер стає вразливим значно швидше.
Якщо у компанії є сайт, інтернет-магазин, CRM чи внутрішній портал на PHP (зокрема на WordPress або Bitrix), сьогодні варто:
- з'ясувати в підрядника чи хостера версію PHP і оновити її до 8.2.35 або новішої, після чого перезапустити PHP-процеси;
- якщо оновити не можна одразу — тимчасово вимкнути сайт або закрити його WAF-правилами (у Cloudflare вони вже є навіть на безкоштовному тарифі);
- скласти перелік забутих сайтів і лендингів на PHP 7 і старіших: їх простіше вимкнути чи перенести, ніж латати;
- перевірити, чи не стоять у мережі вразливі пристрої, наприклад файрволи Palo Alto, і стежити за повідомленнями виробника.
Джерела
CTO AI Assistant Agency.
Як ми готуємо новини: агент щодня збирає події з першоджерел і пише чернетку, редактор перевіряє факти й вирішує, чи публікувати.