Команда разработчиков языка программирования PHP 21 октября сообщила об обнаружении двух критических уязвимостей. По шкале CVSS они получили оценку 9,2 из 10, что соответствует максимальному уровню опасности. Проблемы позволяют злоумышленникам удаленно выполнять код на сервере без авторизации. Под угрозой оказались почти 70% всех сайтов в интернете — именно столько ресурсов, по оценке сервиса W3Techs, используют PHP.
Обе уязвимости связаны с путаницей в памяти сервера. В первом случае система некорректно обрабатывает запрос и аварийно завершает работу: при попытке очистить память возникает сбой, открывающий доступ к удаленному управлению сервером. Во втором случае в памяти остаются «хвосты» данных от предыдущего пользователя, из-за чего новый запрос обрабатывается с ошибкой. Это снова создает лазейку для запуска вредоносных программ.
Последствия для владельцев сайтов и пользователей могут быть самыми разными. Злоумышленники способны получить несанкционированный доступ к файлам и базам данных, внедрить вредоносный код или изменить содержимое ресурса, перенаправить трафик на сторонние сайты, а также использовать сервер для DDoS-атак или спам-рассылок. Кроме того, атака на уязвимый сайт может привести к похищению персональных данных посетителей.
Разработчики настоятельно рекомендуют срочно установить обновления. Исправления уже выпущены для версий PHP 8.2 и выше. Тем, кто использует более старые версии, необходимо как можно быстрее перейти на актуальную ветку.
PHP — скриптовый язык с открытым исходным кодом, созданный датским программистом Расмусом Лердорфом в 1995 году. На нем работает серверная часть многих сайтов и онлайн-сервисов. Сейчас развитием языка занимаются несколько сообществ, включая официальную группу независимых разработчиков PHP Group, некоммерческую организацию The PHP Foundation и независимых контрибьюторов. Несмотря на критику за непоследовательность и нелогичность, PHP остается популярнее конкурентов: он создавался специально для веб-разработки, прост в освоении и обладает огромной экосистемой. На нем изначально работали многие крупные интернет-ресурсы, включая Facebook, и часть из них до сих пор использует PHP, чтобы не тратить ресурсы на полное переписывание кода.
Уязвимости обнаружили эксперты из двух разных команд независимо друг от друга. В августе 2026 года их нашел исследователь компании Calif Райан Остин с помощью ИИ-модели GPT-5.6 Sol. Параллельно те же проблемы выявили сотрудники компании Wiz и сообщили о них разработчикам PHP. Они тоже использовали ИИ-системы, включая модели Gemini 4 Argon и GPT-5.6 Sol, а также собственный инструмент Wiz Atlas.
В заявлении OpenAI говорится, что команда разработчиков PHP в течение двух месяцев работала над устранением уязвимостей совместно с партнерами из Wiz, Cloudflare и других компаний. Их задачей было выпустить обновление до того, как о проблеме станет широко известно и ее начнут массово использовать для кибератак. При этом в блоге The PHP Foundation рассказали, что признаки одной из уязвимостей обнаружили еще в 2024 году в результате внешнего аудита безопасности. Тогда появилась теория, что ошибку с нехваткой памяти могут использовать злоумышленники, однако разработчики не нашли конкретных векторов для атак и переключились на устранение более явных угроз. Глава Calif Таи Дуонг в комментарии WSJ утверждает, что проблема в коде присутствовала десятки лет.
В OpenAI заявляют, что найденные уязвимости — одна из наиболее масштабных угроз кибербезопасности последнего времени. С этим согласен Фолькер Душ, инженер по безопасности, работающий над проектом PHP. По его словам, это самая серьезная проблема, с которой язык столкнулся более чем за 10 лет. Душ сравнил произошедшее с ошибкой Heartbleed в криптографической библиотеке OpenSSL, которая позволяла красть закрытые ключи серверов. Об этой проблеме стало известно в 2014 году, и на тот момент под угрозой находилось около полумиллиона сайтов — примерно 17% всех защищенных веб-серверов.