Дві критичні вразливості в мові програмування PHP, яка лежить в основі значної частини інтернету, поставили під загрозу мільйони вебсайтів, онлайн-магазинів і новинних порталів по всьому світу. Федеральне відомство з інформаційної безпеки Німеччини (BSI) оголосило офіційне попередження про кібербезпеку та присвоїло ризику рівень «3 / Orange», що означає надзвичайно високу небезпеку та вимагає негайних контрзаходів.
Вразливості зареєстровано під ідентифікаторами CVE-2026-109618 і CVE-2026-109619, а фахівці з безпеки об’єднали їх під назвою «PHP2Shell». Вони дозволяють зловмисникам без попередньої автентифікації віддалено виконувати власний шкідливий код на вражених серверах. На практиці це відкриває шлях до повного контролю над вебсайтом, викрадення чутливих баз даних і клієнтських даних, а також до використання інфраструктури для подальших кібератак.
За оцінками експертів, детальна інформація про вразливість ненавмисно потрапила в публічний доступ ще до випуску виправлень. Через це галузь опинилася під значним тиском часу: фахівці припускають, що злочинці можуть уже найближчим часом запустити автоматизовані скрипти, які скануватимуть незахищені сервери в інтернеті щосекунди та захоплюватимуть їх. Спеціалізований сервіс Heise Security попередив операторів сайтів, що робочі експлойти з’являться протягом годин або щонайбільше днів.
Попередження BSI швидко позначилося на публічному житті Німеччини. Кілька федеральних земель, громад, органів влади, університетів і лікарень вирішили тимчасово відключити свої онлайн-пропозиції від мережі, аби не дати зловмисникам жодної можливості для атаки. Вони робитимуть це доти, доки розробники не нададуть необхідні оновлення безпеки. Міністр внутрішніх справ Баден-Вюртемберга Мануель Гагель (CDU) заявив, що інцидент знову демонструє подальше загострення ситуації з кібербезпекою: «Тому ми повинні бути в змозі в будь-який момент швидко відключати від мережі відкриті системи в разі гострих загроз, щоб відвернути шкоду».
Для звичайних користувачів під час повсякденного серфінгу зі смартфона чи комп’ютера прямого втручання не потрібно, оскільки вразливість стосується не їхніх пристроїв, а серверів у фоновому режимі. Водночас споживачі можуть постраждати опосередковано — через перебої в роботі важливих онлайн-сервісів або потенційні витоки даних на сайтах, які не встигли вчасно захистити. Розробники мови програмування та хостинг-провайдери по всьому світу працювали над усуненням прогалин.
У своєму попередженні BSI наголосило, що вразливості становлять винятковий потенціал загрози. Відомство чітко вказало, наскільки серйозною є ситуація, якщо оновлення безпеки не вдається встановити негайно: «Як альтернативу можна розглянути тимчасове від’єднання вебсервера від інтернету до впровадження патча, щоб запобігти компрометації, якщо патчі не можуть бути встановлені в короткий термін». Порада BSI операторам інтернет-ресурсів у разі сумніву повністю відключати сервери від мережі підкреслює нагальність ситуації.
Розробники проєкту PHP у середу після обіду опублікували оновлені версії мови вебскриптів, у яких закрито ці вразливості. Для операторів вебсайтів, онлайн-магазинів і цифрових корпоративних платформ, що технічно базуються на PHP, діє найвища нагальність. ІТ-фахівці наполегливо радять негайно зв’язатися з відповідальними системними адміністраторами, ІТ-підрядниками або провайдерами вебхостингу. Доступні патчі та оновлення безпеки для середовища PHP, а також для використовуваних систем управління контентом, як-от WordPress, потрібно встановити без жодних зволікань.
Старіші версії PHP, які розробники більше офіційно не підтримують, становлять непередбачуваний ризик і мають бути ізольовані або негайно оновлені. Тим, хто не хоче наражатися на ризик компрометації, експерти залишають лише один варіант — від’єднати вебсервери, що працюють на PHP, від мережі, доки оновлення не буде встановлено.