Cloudflare сообщила о миллионах попыток атак через уязвимости PHP
После раскрытия критических ошибок в PHP число попыток их эксплуатации резко выросло. Компании и государственные организации временно ограничили работу сайтов, а разработчики призвали срочно установить обновления.
Cloudflare зафиксировала миллионы попыток эксплуатации уязвимостей PHP к утру 22 октября 2026 года. Об этом сообщил генеральный директор компании Мэтью Принс, пишет vc.ru. Еще до публичного раскрытия ошибок количество атак исчислялось тысячами, а за два часа после объявления выросло до сотен тысяч.
Some stats on #php2shell. In the 10 hours before it was publicly announced, across the @Cloudflare network we saw thousands of attempts to exploit it. That jumped to tens of thousands in the 45 minutes post announcement, hundreds of thousands within 2 hours, and millions now.
— Matthew Prince 🌥 (@eastdakota) October 22, 2026
Эта статистика отражает число попыток атак, а не количество успешно взломанных сайтов. На момент публикации исходного материала публичных сообщений о крупных утечках данных, связанных с этими уязвимостями, не было.
На фоне угрозы организации в разных странах ограничили доступ к своим ресурсам. По данным проекта W3Techs, временно закрывала сайт BBC, о приостановке работы отдельных ресурсов сообщили японские компании, включая Sega, Bandai Namco и ANA. Ограничения также затронули сайты государственных ведомств Японии, больниц и некоторых политических партий Нидерландов. В России о временном сокращении функциональности уведомляли «Битрикс24» и Beget.
Причиной стали две критические ошибки, которые могут позволить злоумышленнику удаленно выполнить код на сервере без авторизации. Команда PHP оценивает риск как особенно высокий для Apache с модулем mod_php: продемонстрированная атака способна сработать еще до выполнения кода приложения.
Масштаб угрозы связан с распространенностью PHP. По данным W3Techs, технология используется на 69,3% сайтов, серверный язык которых удалось определить. Этот показатель характеризует распространенность языка и сам по себе не показывает долю ресурсов, пострадавших от атак.
Исправления вышли 21 октября в версиях PHP 8.5.12, 8.4.27, 8.3.36 и 8.2.35. Разработчики подчеркивают, что временные защитные меры лишь уменьшают риск отдельных сценариев атаки. Полноценным решением остается обновление программного обеспечения.
Владельцам сайтов необходимо уточнить у технической команды или хостинг-провайдера, установлены ли исправления. Для устаревших веток PHP наличие адаптированных обновлений зависит от поставщика; альтернативой является переход на поддерживаемую версию.
