По информации группы, ошибки оставались в ядре PHP свыше 10 лет. Одну из них смогла выявить модель искусственного интеллекта GPT-5.6 Sol. Также обе уязвимости независимо выявила компания Wiz, принадлежащая Google.
Сайты по всему миру начали отключать из-за двух опасных PHP-уязвимостей: что будет с Рунетом
Под угрозой могут оказаться сотни тысяч ресурсов.
Unsplash
В интернете объявили чрезвычайное положение. 21 октября специалисты по кибербезопасности Евросоюза сообщили, что в ядре языка программирования PHP были обнаружены две критические уязвимости CVE-2026-109618 и CVE-2026-109619, которые могут повлечь за собой масштабные утечки данных. После этого почти полтора десятка стран мира начали отключать государственные ресурсы – такие меры будут действовать до тех пор, пока для закрытия уязвимостей не выйдут патчи безопасности. При этом эксперты подчеркивают: под угрозой оказались не только зарубежные государства, но и Россия.
Группа реагирования на компьютерные чрезвычайные ситуации ЕС оценила опасность, которая исходит от обнаруженных ошибок, на 9.2 из 10 баллов по шкале CVSS 4.0. По словам экспертов, эти «дыры» позволяют злоумышленникам удаленно запускать коды на серверах без аутентификации – то есть взламывать ресурсы без паролей. Это чревато утечками паролей, токенов сессий и сертификатов.
Вскоре после сообщений о неприятных находках правительства Великобритании и США выпустили предупреждение с требованием проверить все системы, работающие на PHP, на предмет вредоносной активности. В общей сложности инцидент затронул не менее 13 стран мира: Нидерланды, Финляндию, Бельгию, Австрию, Латвию, Словакию, Японию и многие другие.
Впрочем, угроза затрагивает и Рунет: в российском сегменте интернета на PHP работают 90,9% русскоязычных сайтов – такие цифры приводит W3Techs. Это означает, что уязвиимости могут повлиять на работу десятков, а то и сотен тысяч отечественных ресурсов.
Продолжение ниже
Видео
Продолжение
Руководитель центра разработки больших языковых моделей MWS AI, входящей в МТС Web Services, Валентин Малых в беседе с РБК отметил, что PHP используется для создания сайтов в том числе на системах управления содержимым «1С-Битрикс» и WordPress. «Основная проблема заключается в том, что, как правило, на PHP уязвимости закрываются очень долго», — подчеркнул Малых.
Он отметил, что для защиты нужно обновить программу, которая выполняет PHP-код на сервере. Однако сложность этой задачи зависит от устройства конкретного ресурса. «Это может быть не так просто для самописного сайта, а для блог-платформ это напрямую зависит от владельцев платформ. Будем надеяться, что они оперативно отреагируют», — добавил эксперт.
Бизнес-партнер по инновационному развитию компании «Гарда», технический директор «Гарда WAF» Лука Сафонов в свою очередь подчеркнул, что ИИ в последнее время активно помогает специалистам находить опасные уязвимости в Сети, существовавшие много лет и до этого не попадавшиеся на глаза. «Появился инструмент, который умеет смотреть глубже и быстрее», — обратил внимание он.
Загружаем