По всему миру отключают сайты и срочно обновляют серверы: в языке программирования PHP обнаружили критические уязвимости, способные открыть хакерам путь к данным и управлению системами. Ошибки годами оставались незамеченными, а атаки начались еще до официального раскрытия.

Разработчики PHP, языке, на котором написана и работает значительная часть интернета, выпустили экстренные обновления и призвали установить их немедленно. Две уязвимости под названием PHP2Shell при определенных условиях позволяют запускать посторонний код на сервере без пароля. Злоумышленник может получить контроль над системой, похитить данные или изменить сайт. Опасность получила крайне высокую оценку: 9,2 балла из 10.

PHP используется в популярных системах управления сайтами, включая WordPress, Drupal, Joomla и Magento. По данным W3Techs, на PHP работает около 75% сайтов, для которых удалось определить серверный язык. Это не означает, что все они одинаково уязвимы или уже взломаны: риск зависит от версии и конфигурации. Но распространенность технологии делает проблему глобальной.

По оценке аналитиков, около 1,5 млн из 2,6 млн обнаруженных серверов с PHP сообщают о версиях, для которых исправление не выпущено.

В Нидерландах отключили сайт Национального центра кибербезопасности, портал справочной информации по госуслугам, сервисы порта Роттердама и нескольких больниц. Во Франции сайты министерства внутренних дел перевели в режим техобслуживания. Финский государственный IT-поставщик предупредил об отключении сервисов.

Особенно тревожно, что попытки взлома начались до публичного раскрытия уязвимостей. Система наблюдения зафиксировала первую попытку 17 октября — за четыре дня до официального объявления. Затем последовали новые атаки. Другая система также сообщила о попытках взлома до раскрытия проблемы и предупредила: защитные фильтры не заменяют обновление серверов. Кто стоял за ранними атаками, пока не установлено.

Исследователи обнаружили уязвимости с помощью большой языковой модели. По их словам, ИИ снизил сложность подготовки работающей атаки: прежде она требовала длительной ручной работы. Теперь те же технологии могут помочь злоумышленникам изучить исправления, сравнить новый код со старым и найти серверы, которые еще не обновили. Сооснователь TLP Костин Райу предупредил о риске массовых атак на уязвимые веб-серверы.

Проблему осложнила задержка с исправлением. По данным фонда PHP, признаки одной из ошибок заметили еще в 2024 году, но способ ее эксплуатации тогда не нашли. Подготовка патча затянулась из-за риска нарушить совместимость и нехватки специалистов. В октябре сведения об уязвимостях и демонстрация взлома попали в Сеть до запланированного раскрытия, поэтому выпуск обновлений перенесли на 21 октября.

Владельцам сайтов необходимо проверить версию PHP и установить исправления. Обновления WordPress или плагинов недостаточно: важно проверить сам сервер.

Пока нет подтверждений, что все обнаруженные попытки увенчались успехом. Однако сочетание широко распространенной технологии, ошибок, которые могли оставаться незамеченными годами, и ускорения атак с помощью ИИ оставляет владельцам сайтов все меньше шансов справиться с угрозой.