АНБ призвало владельцев сайтов: если они не могут прямо сейчас установить исправления для PHP, сайт следует отключить от интернета. Необычно слышать такое о языке программирования, о котором большинство людей не вспоминало с последней установки WordPress. Но это вполне точно отражает то, насколько серьёзно воспринимают две недавно раскрытые уязвимости PHP.
Неожиданная деталь — в том, как их обнаружили. Обе нашли с помощью ИИ, и тот же ИИ стал причиной, по которой их считают опасными.
Что обнаружили
PHP Foundation выпустила исправления для двух критических уязвимостей с идентификаторами CVE-2026-109618 и CVE-2026-109619. Каждая получила оценку 9,2 из 10 по шкале CVSS 4.0. Согласно сообщениям, они позволяют атакующему удалённо выполнять произвольный код на сервере. В одном из материалов говорится, что они открывают доступ к файловой системе сервера или к базе данных, которую использует веб-приложение.
В одном из сообщений также утверждается, что эти ошибки присутствуют во всех версиях PHP начиная с версии 5, выпущенной в 2004 году. Два десятилетия — большой срок для столь серьёзной проблемы, остававшейся незамеченной. Тем интереснее объяснение, приведённое ниже.
PHP — не нишевый инструмент. По одной из оценок, на нём работает около 70% веб-сайтов, а по некоторым подсчётам — более 33 миллионов сайтов. На нём основаны популярные системы управления контентом, включая WordPress. Отсюда и тон АНБ.
Как ИИ их нашёл
На эти уязвимости вышли две группы исследователей, отчасти независимо друг от друга.
- Инициатива OpenAI. Компания Calif, специализирующаяся на тестировании безопасности, участвовала в инициативе OpenAI "Patch the Planet" по поиску уязвимостей в ПО с открытым исходным кодом. С помощью GPT-5.6 Sol она обнаружила одну из уязвимостей, о чём OpenAI сообщила в своём блоге.
- Работа Wiz. Независимо от неё команда Wiz (подразделение Google по безопасности) использовала ИИ для поиска ошибок в PHP. В её инструментарий входили агент безопасности Wiz Atlas, Gemini 4 Argon и GPT-5.6 Sol. В одном из сообщений говорится, что таким образом удалось обнаружить несколько уязвимостей, что не вполне стыкуется с двумя CVE, оказавшимися в центре внимания. Из источников неясно, как дополнительные находки соотносятся с двумя исправленными уязвимостями.
Обе группы следовали обычной процедуре ответственного раскрытия уязвимостей. Прежде чем что-либо сообщать публично, они работали с командой PHP над исправлениями, а затем привлекли множество помощников, чтобы подробнее изучить находки и протестировать патчи. Wiz поблагодарила Automattic, Akamai, AWS, Cloudflare, Fastly, Imperva, Microsoft и Vercel.
OpenAI утверждает, что исследователи нашли уязвимости раньше хакеров и что на момент объявлений сообщений об их эксплуатации в реальных атаках не было.
Та часть, где у хороших новостей появляется звёздочка
Есть причина, по которой эти ошибки просуществовали с 2004 года. Как сообщается, до появления ИИ атакующим было слишком сложно надёжно их эксплуатировать. В своём материале Wiz выразилась прямо: с ИИ этот барьер исчез, поскольку большие языковые модели могут помочь адаптировать эксплойт к разным версиям PHP, конфигурациям и схемам размещения данных в памяти.
Итак, ИИ нашёл проблему, ИИ сделал её серьёзной, и ИИ, надо полагать, доступен тем, кто читает сообщение об уязвимостях. Круг замкнулся — складно, но не успокаивает.
На практике это означает гонку на опережение. Уязвимости теперь известны публично, поэтому атакующие знают, где искать, а десятки миллионов сайтов нужно обновить до того, как до них доберутся. Совет АНБ отключить сайт, если установить исправления невозможно, — логичный вывод.
Что исправлять и до какой версии обновляться
Исправления вышли в нескольких ветках релизов.
| Ветка | Исправленная версия |
|---|---|
| PHP 8.5 | 8.5.12 |
| PHP 8.4 | 8.4.27 |
| PHP 8.3 | 8.3.36 |
| PHP 8.2 | 8.2.35 |
В одном из сообщений текущей версией названа 8.5.12, и рекомендуется перейти на неё. Ожидается, что дистрибутивы Linux и платформы с долгосрочной поддержкой выпустят собственные обновлённые пакеты, поэтому многие администраторы получат исправление через привычный пакетный менеджер, а не будут устанавливать его вручную.
PHP 8.1 и более старые версии больше не поддерживаются, и тем, кто ими пользуется, предстоит больше работы. Один из материалов добавляет нюанс: основной проект больше не выпускает регулярных обновлений для этих веток, но для некоторых из них подготовлены отдельные исправления. Проверьте это, прежде чем считать, что вы остались без вариантов, — и прежде чем считать, что вы в безопасности.
Если немедленно обновиться невозможно, разработчики PHP предлагают временные меры по снижению риска. Они прямо указывают, что полной защиты эти меры не дают. Представьте себе ремень безопасности в машине, на которой вам пока вообще не стоит ездить.
А что с WordPress
Поскольку WordPress работает на PHP, возникли опасения, что речь идёт об ошибке в WordPress. Команда WordPress заявила, что это не так. Уязвимость находится в среде выполнения языка, а не в CMS. Владельцам сайтов нужно установить исправления на серверы и совместно с хостинг-провайдерами убедиться, что обновление применено. Если у вас управляемый хостинг, нужно обращаться к хостинг-провайдеру, а не ковыряться в плагинах.
Неясности и противоречия в сообщениях
Сообщения не во всём согласуются друг с другом, и к нескольким моментам стоит отнестись осторожно.
- Сведения об эксплуатации. OpenAI утверждает, что на момент раскрытия уязвимостей они не эксплуатировались в реальных атаках. В другом материале упоминаются более ранние обсуждения в интернете инструмента под названием PHP2Shell, который, как утверждалось, позволял выполнять произвольный код на сайтах, использующих популярные CMS и веб-фреймворки. Источники не связывают его с этими CVE и не подтверждают его работоспособность, поэтому считайте это непроверенным утверждением.
- Отключение сайтов в Европе. В одном из сообщений упоминается, что некоторые государственные и другие организации в Европе временно отключили свои сайты в качестве меры предосторожности. Это согласуется с рекомендацией АНБ, но источники не приводят ни названий, ни чисел.
- Масштаб в России. Руководитель центра разработки больших языковых моделей MWS AI Валентин Малых заявил российской прессе, что под угрозой могут оказаться десятки тысяч ресурсов Рунета. Это оценка одного эксперта, а не результат подсчёта.
- Возможный ущерб. В одном материале описывается доступ к файловой системе или базе данных, в другом — удалённое выполнение произвольного кода. Вероятно, это два описания одной и той же возможности, но источники не поясняют этого напрямую.
Что сделать на этой неделе
- Узнайте свою версию PHP. Если вы её не знаете, это первая проблема.
- Обновитесь до версии с исправлением. Используйте 8.5.12, 8.4.27, 8.3.36 или 8.2.35 либо пакет с исправлением от вашего дистрибутива.
- Эскалируйте вопрос, если у вас 8.1 или старше. Ищите бэкпорты исправлений и планируйте полноценное обновление.
- Обратитесь к хостинг-провайдеру. Особенно если у вас WordPress на управляемом хостинге.
- При необходимости отключите сайт. АНБ говорит это всерьёз.
Во всей этой истории есть что-то слегка забавное. Двадцать лет лучшей защитой от критической ошибки было то, что эксплуатировать её было утомительно. Потом машины обзавелись терпением и нашли её первыми. Теперь всем остальным нужно быть быстрее машин — а к столь жёстким срокам не был готов ни один график управления изменениями.