Сотни миллионов сайтов оказались под угрозой взлома из-за уязвимостей в языке программирования PHP. Насколько это опасно? И угрожает ли что-то лично вам? Что случилось? 21 октября команда разработчиков языка программирования PHP сообщила, что обнаружила две уязвимости. По шкале CVSS они получили оценку 9, 2 из 10 — это соответствует критическому уровню. Найденные уязвимости позволяют злоумышленникам удаленно выполнять код на сервере без авторизации. В результате те могут получить несанкционированный доступ к файлам и базам данных, внедрить вредоносный код или изменить содержимое сайта, перенаправить трафик на сторонние ресурсы, использовать сервер для DDoS-атак или спам-рассылок. Из-за этих уязвимостей под угрозой взлома оказалось почти 70% всех сайтов в интернете. Именно столько ресурсов, по оценке сервиса W3Techs, используют язык PHP. Разработчики настоятельно рекомендуют срочно установить обновления. Они уже выпущены для версий PHP 8.2 и выше. Что вообще за PHP? Это скриптовый язык с открытым исходным кодом, созданный датским программистом Расмусом Лердорфом в 1995 году. На нем работает серверная часть многих сайтов и онлайн-сервисов. Сейчас развитием языка занимается несколько сообществ, среди которых официальная группа независимых разработчиков PHP Group (в нее входит Лердорф), некоммерческая организация The PHP Foundation и независимые контрибьюторы. У PHP не самая хорошая репутация в профессиональной среде, хотя причины тому довольно странные. Например, у этого языка низкий порог входа для новичков, что в целом можно считать плюсом. Но из-за этого на PHP написано много плохого кода. И вообще сложилось мнение, что он не подходит для сложных систем (хотя это не так). Также язык давно критикуют за непоследовательность и нелогичность — следствие его хаотичного развития. Тем не менее, PHP остается популярнее конкурентов: он создавался именно для веб-разработки, он прост и вокруг него сформировалась огромная экосистема. Кроме того, именно на PHP изначально создавались многие крупные интернет-ресурсы (к примеру, фейсбук), и многие из них продолжают работать на этом языке, чтобы не тратить огромные ресурсы на полное переписывание кода. ИИ еще сильнее упростил написание кода Сыграть в «Зомбоящик», переименовать свой город, выучить слова из «Гамлета», предсказать погоду и созвониться с семьей Читатели «Медузы» — о том, какие штуки они навайбкодили своими руками И в чем суть найденных уязвимостей? Обе уязвимости связаны с путаницей в памяти сервера. Из-за ошибок в коде PHP злоумышленник может обманом заставить систему принять вредоносные данные за безопасные. В первом случае система некорректно обрабатывает запрос и аварийно завершает работу. При попытке очистить память возникает сбой, который открывает доступ к удаленному управлению сервером. Во втором случае в памяти сервера случайно остаются «хвосты» данных от предыдущего пользователя. Из-за этого новый запрос обрабатывается с ошибкой, что снова открывает лазейку для запуска вредоносных программ. Как насчет поздравить «Медузу» с днем рождения? Помогайте делать любимое издание лучше — вылавливайте опечатки! Если заметили ошибку на сайте — выделите ее и нажмите Ctrl + Enter. Появится форма, куда можно написать, что не так. Мы увидим, исправим и порадуемся, что делаем «Медузу» вместе! Другие способы нас поздравить ищите тут. Как нашли эти уязвимости? Уязвимости обнаружили эксперты из двух разных команд независимо друг от друга. В августе 2026 года их нашел исследователь компании Calif Райан Остин с помощью ИИ-модели GPT‑5.6 Sol. Параллельно эти же проблемы выявили сотрудники компании Wiz и сообщили о них разработчикам языка РНР. Они тоже использовали ИИ-системы, включая модели Gemini 4 Argon и GPT-5.6 Sol, а также собственный инструмент Wiz Atlas. Как ИИ учится находить проблемы с кибербезопасностью Разработчики ИИ устроили «осеннюю гонку» новых моделей. Пока что в ней выигрывает Anthropic Теперь все компании сосредоточены на решении задач, связанных с программированием и кибербезопасностью В заявлении OpenAI говорится, что команда разработчиков PHP в течение двух месяцев работала над устранением найденных уязвимостей совместно с партнерами из Wiz, Cloudflare и других компаний. Их задачей было выпустить обновление до того, как о проблеме станет широко известно и ее начнут массово использовать для кибератак. При этом в блоге The PHP Foundation рассказали, что признаки одной из уязвимостей обнаружили еще в 2024 году — в результате внешнего аудита безопасности. Тогда появилась теория, что ошибку с нехваткой памяти могут использовать злоумышленники. Однако разработчики не нашли конкретных векторов для потенциальных кибератак и переключились на устранение более явных угроз. Глава Calif Таи Дуонг в WSJ утверждает, что проблема в коде присутствовала десятки лет. Они действительно так опасны? В OpenAI заявляют, что найденные уязвимости — одна из наиболее масштабных угроз кибербезопасности последнего времени. С этим согласен Фолькер Душ, инженер по безопасности, который работает над проектом PHP. По его словам, это самая серьезная проблема, с которой язык программирования столкнулся более чем за 10 лет. Душ считает, что произошедшее можно сравнить с ошибкой Heartbleed в криптографической библиотеке OpenSSL, которая позволяла красть закрытые ключи серверов. Об этой проблеме стало известно в 2014 году, и на тот момент под угрозой атаки находилось около полумиллиона сайтов. То есть примерно 17% всех защищенных веб-серверов. И кто находится под угрозой? Можно подумать, что в первую очередь обнаружение уязвимостей в PHP — проблема исключительно системных администраторов. Однако это не так. Во-первых, злоумышленники могут атаковать уязвимый сайт и похитить персональные данные пользователей. Во-вторых, они могут изменить содержимое ресурса. В этом случае пользователь зайдет на привычный сайт, но станет жертвой фишинговой атаки. Или же на его устройство попадет зараженное программное обеспечение. Наконец, подобные критические уязвимости могут отражаться на доступности сайтов. К примеру, в нынешнем случае некоторые правительственные учреждения в Бельгии, Великобритании, Дании, Нидерландах, Финляндии и Франции были вынуждены на какое-то время отключить свои общедоступные сайты и сервисы. Подобные меры были предприняты более чем в десятке стран. Еще в ряде государств ограничились рекомендациями по отключению ресурсов. В России о временных ограничениях на загрузку файлов в связи с проблемами PHP сообщал «Рег.ру», один из крупнейших регистраторов доменных имен и хостинг-провайдеров. Также свой сайт временно отключал канал «Дождь». Кибератаки бывают очень разными Во Франции хакеры взломали холодильники в сотнях супермаркетов. Вместо заморозки продукты нагрели до 50 градусов Хакерская группировка ShinyHunters украла медицинские данные сотрудников ФБР Хакеры потребовали от Revolut выкуп в три миллиона долларов. Они угрожают продать личные данные клиентов, к которым получили доступ Но если уязвимость исправили, чего бояться? Наличие обновления вовсе не означает, что системные администраторы сразу всех компаний и организаций оперативно его применят. По статистике, на июль 2026 года в мире насчитывалось почти полмиллиарда сайтов. Но лишь 216 миллионов считались активными. То есть их продолжают поддерживать и регулярно обновлять. Высок риск того, что человек зайдет на какой-нибудь забытый сайт и станет жертвой кибератаки. Ситуация осложняется тем, что язык PHP используется многими платформами для создания сайтов. Например, на долю самой популярной — WordPress — приходится более 58% рынка. В России аналогом можно считать «1С-Битрикс», хотя эта платформа создана в первую очередь для корпоративных клиентов. Для россиян, кстати, риски еще выше, так как PHP используют более 90% всех сайтов в рунете. Наконец, важно учитывать, что довольно большое количество сайтов используют старые версии PHP — например, 8.1 и ниже. Их официальная поддержка уже завершена, а переход на новые версии часто требует перепис