Паніка навколо PHP: дві критичні вразливості ставлять під загрозу 70% інтернету, і всі в паніці

Якщо ви сьогодні хоч раз заходили в інтернет, ви бачили паніку: критична вразливість загрожує «зламати» чи не кожен вебсайт на планеті.

Фінляндія щойно почала відключати урядові вебсайти в середу, АНБ рекомендує всім організаціям, які використовують PHP, закрити свої сайти, а Нідерланди та Франція зробили те саме. І ні, це не була кібервійна.

Винуватцем був PHP — мова програмування, про яку більшість людей ніколи не чули. Але ви майже напевно користувалися нею сьогодні: за даними W3Techs, вона працює приблизно на 70% усіх вебсайтів, чия серверна мова відома.

PHP — це програмне забезпечення, яке працює за лаштунками на сервері вебсайту — комп'ютері, що зберігає сайт і створює кожну сторінку, яку ви запитуєте. Кожен сайт на WordPress, наприклад, розміщується на PHP-сервері, за даними компанії з кібербезпеки Wordfence.

О, до речі, Wordfence теж не працює.

Дві нововиявлені помилки в самому PHP дозволяють сторонній особі виконувати власні команди на цьому сервері, навіть не входячи в систему. Фахівці з безпеки називають це неавтентифікованим віддаленим виконанням коду. Усі інші можуть назвати це «тепер за кермом хтось інший».

Якщо на цьому сервері зберігається ваш обліковий запис, ваша адреса чи історія замовлень, що ж, тепер вони теж належать їм. Вебхостинг GoDaddy попередив, що ці вразливості можуть дозволити зловмисникам викрадати дані, спотворювати сайти або повністю захоплювати сервери.

«Така вразливість може дозволити зловмиснику виконувати власний код на ураженому сервері через інтернет, що може призвести до викрадення даних, спотворення сайту або повного захоплення», — зазначає GoDaddy.

Що оголосив PHP

PHP Foundation, некомерційна організація, що фінансує розробку мови, оголосила тривогу у вівторок. У заяві, поширеній у X, вона повідомила: «Команда безпеки PHP завчасно попереджає: майбутній випуск безпекових виправлень у середу, 21 жовтня 2026 року, 14:00 UTC, дві критичні вразливості, обидві оцінені за CVSSv4 у 9.2. Користувачам PHP рекомендується підготуватися до оновлення. Раніший випуск, якщо деталі стануть публічними або з'являться докази активного використання.»

Ця оцінка 9.2 походить із CVSS, Загальної системи оцінювання вразливостей, яка визначає, наскільки небезпечною є помилка, виходячи з таких факторів, як легкість доступу до неї через інтернет і обсяг шкоди, яку вона може завдати. Шкала сягає від 0 до 10, і все від 9.0 і вище позначається як критичне — тож ці дві є приблизно настільки поганими, наскільки це можливо, не досягаючи ідеальної десятки.

Виправлення з'явилося приблизно о 13:35 UTC у середу, на кілька хвилин раніше, у вигляді версій PHP 8.5.12, 8.4.27, 8.3.36 і 8.2.35. Повідомлення про безпеку не стало добирати слів: «Усім користувачам PHP наполегливо рекомендується негайно оновитися».

Але випустити виправлення і змусити всіх впровадити рішення — це не одне й те саме, тому слід бути обережними.

Як працюють ці вразливості

Перша вразливість, CVE-2026-109618, проявляється, коли PHP вичерпує пам'ять на півдорозі обробки запиту, а потім поводиться з цими напівзбудованими даними так, ніби вони завершені. Друга, CVE-2026-109619, дозволяє залишкам від запиту одного відвідувача затримуватися в пам'яті після того, як їх уже слід було б відкинути, де на них може натрапити наступний запит.

Уявіть кухаря, який продовжує читати замовлення з квитанцій, що вже лежать у смітнику. Підсуньте фальшиву квитанцію в кошик — і кухар приготує все, що ви на ній написали. У цьому випадку «замовленням» є код зловмисника, і сервер його виконує.

PHP заявила, що ризик найвищий на серверах, які використовують поширену конфігурацію Apache під назвою mod_php, де продемонстрований експлойт спрацьовує «ще до того, як виконається будь-який код застосунку». Іншими словами, власні засоби захисту вебсайту, як-от екрани входу та плагіни безпеки WordPress, навіть не прокидаються.

Дослідники фонду PHP вказали на функцію PHP для відстеження прогресу завантаження — ту саму, що відстежує, скільки файлу ви вже надіслали, — як на один із підтверджених шляхів проникнення. Вона увімкнена за замовчуванням уже понад десятиліття, і мало які вебсайти справді її використовують.

Витік, а потім атаки

Ніщо з цього не мало стати публічним так рано. У вівторок хтось опублікував на форумі Hacker News повідомлення про те, що дві вразливості PHP будуть розкриті того четверга, визнавши при цьому, що в нього «немає жодних доказів, окрім „джерело: повір мені, брате“».

Виявилося, що брат мав рацію. Компанія з кібербезпеки watchTowr підтвердила, що вразливості реальні й перебувають під ембарго — угодою тримати деталі в таємниці до готовності виправлення — і PHP перенесла свій реліз на день раніше.

«Ми бачимо, як з'являються перші атаки, і оновлюємо засоби пом'якшення в міру виникнення нових векторів», — написав у X технічний директор Cloudflare Дейн Кнехт рано вранці в середу, майже за шість годин до випуску патча. Cloudflare розгорнула екстрені правила брандмауера — фільтри, що блокують відомі шаблони атак, — для кожного клієнта, але Кнехт назвав їх «лише тимчасовим заходом».

Уряди вимикають рубильник

Державний ІТ-центр Фінляндії Valtori почав виводити з мережі публічні веб-сервіси як запобіжний захід, повідомила громадська телерадіокомпанія Yle, тоді як національне агентство з кібербезпеки Нідерландів вимкнуло власний вебсайт.

Міністерство внутрішніх справ Франції заявило, що вебсайти префектур були «тимчасово виведені з мережі в очікуванні випуску патча безпеки видавцем фреймворку».

CERT-EU, команда ЄС з кібернетичних надзвичайних ситуацій, порадила організаціям, які не можуть встановити патч, «розглянути можливість ізоляції застосунків, доступних з інтернету, від публічних мереж до моменту, коли з'явиться виправлення». Це бюрократичною мовою означає «вимкніть його з розетки». Агентства в Австралії, Японії та Великій Британії сказали приблизно те саме, за даними Reuters.

У чому помилилися вірусні дописи

Вірусні треди в X стверджували, що версії PHP «аж з 2004 року» були вразливими. Це сягає ранніх оцінок, що все починаючи з PHP 5 було уражене, і CERT-EU визнала, що це ґрунтується на дописах у соціальних мережах.

Фірма з безпеки електронної комерції Sansec визначає діапазон як PHP 5.4 і пізніші версії. Тобто 2012 рік, а не 2004—все ще досить давно.

PHP випускає офіційні релізи лише для версій 8.2 і новіших, що робить твердження «немає виправлення для старих версій» наполовину правильним. З огляду на те, наскільки серйозною є ця проблема, її команда з безпеки також опублікувала мінімальні патчі вихідного коду для 7.4, 8.0 і 8.1, а дистрибутиви Linux переносять власні виправлення.

Фірма з безпеки Mallory нарахувала близько 884 000 доступних з інтернету хостів, які 20 жовтня повідомляли про PHP 8.1 або старішу версію, тобто 59% з приблизно 1,5 мільйона, що публічно показують версію. Один сервер спільного хостингу може містити багато вебсайтів, тож кількість сайтів за ними є більшою.

Деякі треди також долучили Node.js—іншу вебтехнологію, яка випадково запланувала власне, не пов'язане оновлення безпеки на той самий день. Невдалий збіг.

Навіть виправлені версії не надійдуть на кожен сервер одразу. «Якщо ви покладаєтеся на https://rpms.remirepo.net, який підтримують волонтери, ми наполегливо радимо вам перейти на пакети дистрибутива або збирання з вихідного коду вже зараз, щоб ви могли негайно застосувати оновлення. Сьогодні в цьому репозиторії оновлень не буде», — йдеться у заяві PHP Foundation, яка стосується популярного джерела пакетів PHP для Linux-серверів у стилі Red Hat, що його підтримують волонтери.

Чи справді вам варто хвилюватися?

Панікувати не варто, але й відмахуватися теж не слід. Зламаний вебсайт, наприклад, не обов'язково має торкатися блокчейну, щоб спорожнити ваш гаманець. У 2024 році зловмисники перенаправили інтерфейси DeFi-протоколів Compound і Celer на сторінки, які спустошували під'єднані гаманці, а Curve Finance зазнала подібної атаки у 2025 році.

Це були DNS-перехоплення, а не помилки PHP, але трюк той самий: сайт виглядає правильно, URL виглядає правильно, а кнопка «схвалити» надсилає ваші токени кудись інде. Скомпрометований сервер може віддавати саме таку сторінку.

Хакери можуть бути дуже винахідливими, дуже швидко, коли йдеться про експлойти нульового дня.

Такі помилки також стає легше знаходити, оскільки передові моделі ШІ дедалі частіше використовують для пошуку вразливостей програмного забезпечення, і експерти сказали Decrypt у червні, що може з'явитися набагато більше вразливостей, у міру поширення цих інструментів.

Що буде далі і що робити

Щойно патч стає публічним, зловмисники можуть порівняти старий і новий код, щоб побачити, що саме було виправлено, і команда криміналістики компанії з кібербезпеки Sansec заявила, що очікує «масових атак протягом 15 хвилин після випуску». Коли інша вразливість PHP стала публічною в червні 2024 року, Akamai зафіксувала спроби експлуатації проти своїх приманкових серверів протягом 24 годин.

Тож чи повинна пересічна людина панікувати? Не зовсім. Ваш телефон, браузер і ноутбук не потребують патча PHP; робота лягає на того, хто керує вебсайтами, якими ви користуєтеся.

Якщо ви керуєте сайтом, запитайте у свого хостинг-провайдера, чи оновлено PHP, і не розраховуйте на те, що WordPress зробить це за вас: Wordfence попередив, що автоматичні оновлення не застосують це виправлення, і порадив власникам сайтів з'ясувати, хто відповідальний за оновлення PHP на їхніх серверах. Усім, хто на 8.1 або старішій версії, потрібно планувати оновлення.

"Єдине, що я можу сказати, це те, що єдиний спосіб пом'якшити — це патчити / оновлювати PHP", — сказала розробниця ядра PHP Джина Пітер Баньярд у Mastodon. "Я, на жаль, знаю занадто багато."

А якщо ви на PHP 8.2, виправлення, яке ви щойно отримали, — одне з останніх: ця версія досягає кінця життєвого циклу 31 грудня 2026 року, після чого вона більше не отримуватиме патчів безпеки.