В PHP обнаружили две критические уязвимости, которые при определённых условиях позволяли злоумышленнику выполнять команды на сервере без пароля. Проблема затрагивает сам язык программирования, поэтому потенциально уязвимыми оказались сайты на WordPress, Drupal, Joomla и других платформах.
21 октября 2026 года разработчики PHP выпустили срочные обновления.
Обе уязвимости получили оценку опасности 9,2 из 10. Помимо захвата управления сервером, некоторые способы эксплуатации позволяли извлекать из его памяти конфиденциальные данные.
К обнаружению проблем приложили руку сразу несколько нейросетей.
Исследовательская команда Calif выявила одну из уязвимостей с помощью GPT-5.6 Sol в рамках инициативы OpenAI Patch the Planet. Независимо от неё специалисты Wiz нашли обе проблемы, используя несколько ИИ-моделей. По сообщению Google, существенную роль в этой работе сыграла Gemini 4 Argon.
Но найти ошибку — только начало. Чтобы исправление действительно защитило сайты, его нужно подготовить, проверить и распространить среди огромного количества пользователей PHP.
В течение двух месяцев специалисты OpenAI, Calif, Wiz и разработчики PHP координировали работу с инфраструктурными компаниями и государственными ведомствами. К подготовке защиты подключились Cloudflare, Google, Microsoft и другие организации.
Cloudflare, например, развернула защитные правила для своего веб-экрана примерно за девять часов до публичного раскрытия уязвимостей. Сам код PHP исправляла команда разработчиков языка.
Но выяснилось, что злоумышленники начали действовать ещё до официального раскрытия уязвимостей.
Amazon обнаружила попытку атаки на PHP ещё 17 октября — за четыре дня до выпуска исправлений. Её система наблюдения MadPot зафиксировала подозрительный запрос к специально подготовленному серверу-приманке. Отправитель использовал сеть для сокрытия своего адреса. Как он узнал об уязвимости до публичного объявления, пока неизвестно.
21 октября Amazon зарегистрировала новые попытки эксплуатации, предположительно от нескольких независимых участников. После публикации исправлений число атак быстро выросло. По данным компании, уязвимости уже активно эксплуатируются, хотя успешный взлом реальных сайтов этими конкретными попытками не подтверждён.
Это меняет и практические рекомендации владельцам сайтов: недостаточно просто установить обновление — стоит также проверить журналы сервера начиная как минимум с 17 октября, чтобы не пропустить признаки атаки, произошедшей до установки исправлений.
Для владельцев сайтов обновления уже доступны:
PHP 8.5 — версия 8.5.12; PHP 8.4 — версия 8.4.27; PHP 8.3 — версия 8.3.36; PHP 8.2 — версия 8.2.35.
Временные защитные меры могут снизить риск, но полноценной заменой обновлению не являются. Для устаревших веток PHP 8.1 и ниже нужно искать исправления у поставщика программного обеспечения либо переходить на поддерживаемую версию.
OpenAI также напомнила о программе Daybreak for Frontline Defenders стоимостью $1 млрд. Деньги не раздают организациям напрямую: речь о субсидированном доступе к защитным ИИ-инструментам, обучении и технической поддержке. Программу объявили ещё 3 сентября, поэтому считать миллиард новым финансированием октябрьской операции нельзя.
История с PHP показала неожиданную сторону конкуренции ИИ-компаний. Модели OpenAI и Google помогли независимо обнаружить опасные ошибки в одном из важнейших компонентов веба. Но их устранение по-прежнему потребовало работы программистов, специалистов по безопасности и инфраструктурных компаний.
А владельцам сайтов теперь нужно не только выяснить версию PHP и установить обновление, но и убедиться, что злоумышленники не успели воспользоваться уязвимостями раньше.