В PHP обнаружили две критические уязвимости: 70% владельцев сайтов в мире призвали срочно обновить ПО

Разработчики PHP выпустили экстренные исправления ошибок, позволяющих удаленно выполнять код без авторизации. Одну из уязвимостей исследователи нашли с помощью искусственного интеллекта.

Команда PHP 21 октября 2026 года выпустила обновления, устраняющие две критические уязвимости. Обе получили оценку опасности 9,2 балла по шкале CVSS. Разработчики призвали пользователей незамедлительно установить исправления.

Проблемы связаны с обработкой памяти и внутреннего состояния запросов. При определенных условиях они позволяют злоумышленнику выполнить код на сервере без предварительной авторизации. Риск затрагивает установки PHP, обслуживающие веб-запросы. Особенно высоким разработчики считают его для Apache с модулем mod_php: продемонстрированная атака может сработать еще до запуска кода самого приложения.

Масштаб внимания к инциденту объясняется распространенностью технологии. По данным W3Techs на 22 октября, PHP используют 69,3% сайтов, серверный язык которых удалось определить. Однако этот показатель описывает долю технологии, а не количество взломанных ресурсов. Утверждать, что атака затронула «70% всех сайтов мира», на основании этой статистики нельзя.

В обнаружении проблем участвовали специалисты компаний Calif и Wiz. Согласно сообщению OpenAI, Calif выявила критическую ошибку с помощью GPT-5.6 Sol в рамках инициативы Patch the Planet. Wiz независимо обнаружила обе уязвимости и передала информацию разработчикам. Исправления подготовила команда PHP при исследовательской и технической поддержке партнеров.

По информации Bloomberg, на фоне предупреждений некоторые государственные структуры Финляндии и Нидерландов временно ограничили работу сайтов. Аналогичные меры приняли отдельные университеты Германии и Австрии. Само отключение ресурса в качестве предосторожности не означает, что его взломали.

Исправления доступны в PHP 8.5.12, 8.4.27, 8.3.36 и 8.2.35. Для устаревших веток ситуация зависит от поставщика: некоторые дистрибутивы и службы долгосрочной поддержки предоставляют адаптированные обновления. Команда PHP также опубликовала минимальные исправления исходного кода для версий 7.4, 8.0 и 8.1.

Разработчики подчеркивают: временные защитные меры могут снизить риск, но полноценным решением остается установка обновления. Владельцам сайтов необходимо проверить вместе с хостинг-провайдером или технической командой, какая версия PHP используется и применены ли исправления.