Государственные сайты Нидерландов и часть инфраструктуры Wikimedia отключили из предосторожности из-за двух критических ошибок в PHP. Они допускают удалённый запуск кода без авторизации. Исправления выпущены 21 октября, но администраторам необходимо установить их и перезапустить обработчики.
Представьте, что посетитель может сломать служебный механизм здания ещё до проверки пропуска. Здесь ошибка находится в самом обработчике веб-запросов: защиты страницы входа может оказаться недостаточно. Это не означает, что каждый сайт уже взломан, но объясняет решение временно закрыть доступ.
Что произошло и насколько это опасно
Уязвимости CVE-2026-109618 и CVE-2026-109619, обсуждаемые под названием PHP2Shell, получили по 9,2 балла CVSS. PHP подтвердил риск для веб-установок, включая PHP-FPM, Apache с mod_php, php-cgi, FrankenPHP и LiteSpeed. Особенно высокий риск разработчики отмечают для mod_php. Предупреждение PHP.
В первом случае сбой обработки нехватки памяти может оставить внутренние данные частично подготовленными. Во втором обработчик способен повторно использовать состояние запроса, память которого уже освобождена. При подходящих условиях это позволяет атакующему выполнять код с правами процесса PHP. Автоматическое получение прав root из этого не следует. Для пользователя последствия могут включать доступ к данным приложения и его секретам.
Какие отключения подтверждены
Нидерланды. Правительство официально сообщило о профилактическом отключении ряда государственных ресурсов и назвало Overheid.nl, MijnOverheid.nl и DigiD. В уведомлении от 21 октября, 15:13 по местному времени, сказано, что на тот момент признаков активного злоупотребления уязвимостями не было. Сам Rijksoverheid.nl, по сообщению правительства, не использует PHP и этим риском не затронут. Официальное сообщение.
Wikimedia. На странице состояния перечислены отключённые Cloud VPS, Toolforge, все экземпляры Wikibase Cloud, Gerrit CI runners и doc.wikimedia.org. Phabricator, translatewiki.net и GitLab уже значатся восстановленными в проверенной редакции страницы от 21 октября, 16:17 UTC. Это сообщение о конкретных службах, а не о выключении всей Википедии. Оперативный отчёт Wikimedia.
Отключение из предосторожности и успешный взлом — разные события. В изученных уведомлениях нет доказательств массового взлома перечисленных организаций. При этом CERT-EU предупреждает, что появление публичных демонстраций повышает вероятность эксплуатации. Отсутствие подтверждённой утечки не отменяет необходимости обновления.
Какие версии исправлены
| Ветка PHP | Исправленный выпуск |
|---|---|
| 8.5 | 8.5.12 |
| 8.4 | 8.4.27 |
| 8.3 | 8.3.36 |
| 8.2 | 8.2.35 |
У поставщика Linux исправление может быть перенесено в пакет с прежним базовым номером версии: проверять нужно бюллетень дистрибутива и ревизию пакета. Для PHP 8.1 и старше штатная поддержка проекта завершена. Возможны исправления от LTS-поставщиков; команда PHP также подготовила минимальные исходные переносы для 7.4, 8.0 и 8.1. Это не возобновление полной поддержки старых веток. Рекомендации CERT-EU.
Что это означает для WordPress, Moodle и панелей управления
Обновить WordPress или убрать подозрительный плагин недостаточно, если уязвим сам PHP. На одном сервере могут одновременно работать несколько его версий и отдельные пулы для разных сайтов. Нужно проверять именно обработчик, обслуживающий веб-запросы, а не только версию в командной строке.
Названия CMS и панели сами по себе не устанавливают затронутость: значение имеют встроенный PHP, сборка поставщика и конфигурация. Отдельного внимания требуют контейнеры, виртуальные устройства и административные интерфейсы. Национальный центр кибербезопасности Нидерландов ведёт инвентаризацию продуктов с зависимостью от PHP. Наличие продукта в таком перечне не означает подтверждённый взлом его пользователей.
Причём здесь ИИ — и почему исправление задержалось
По рассказу PHP Foundation, первые признаки проблемы с нехваткой памяти нашли ещё в 2024 году во время работы над результатами аудита Quarkslab. Исправление тормозили сложные компромиссы совместимости и нехватка ресурсов; фонд прямо признал организационный провал. В августе 2026 года Calif и OpenAI независимо показали серьёзность проблемы, дополнительные варианты предоставили OpenAI и Wiz. Daybreak Red использовали для проверки отчётов и эксплойтов. Решения об исправлениях принимали люди. Разбор PHP Foundation.
По сведениям фонда, утечки информации о предстоящем раскрытии ускорили выпуск. Изначально его планировали на 22 октября. При этом фонд не обнаружил работоспособных публичных эксплойтов к моменту раскрытия. Это ограниченное по времени наблюдение не гарантирует отсутствия последующих атак.
Как ошибка PHP может превратиться в кражу данных
Обычный запрос проходит через веб-сервер к процессу PHP, который разбирает входные данные и запускает код сайта. Описанные ошибки затрагивают управление памятью и жизненным циклом запроса. При успешной эксплуатации атакующий может заставить процесс выполнять посторонний код. Для mod_php разработчики описали вариант, срабатывающий до запуска кода приложения; наличие сложной страницы авторизации само по себе этот путь не перекрывает.
Дальнейшие последствия зависят от прав процесса. Если PHP может читать конфигурацию с паролем базы данных, тот же доступ потенциально получает исполняющийся в нём посторонний код. Если процесс имеет право менять файлы сайта, возможны подмена страниц и сохранение средства повторного доступа. Это оценка последствий удалённого выполнения кода, а не доказательство таких действий у отключившихся организаций.
| Система | Основной риск | Что проверять |
|---|---|---|
| WordPress и другие PHP-CMS | Ошибка среды выполнения может обходить защиту приложения. | Фактическую веб-версию PHP и пакет с исправлением, затем целостность сайта. |
| Общий хостинг | Несколько сайтов могут использовать один обработчик или слишком широкие файловые права. | Ответ хостера по каждому сайту, разделение пользователей и пулов. Уязвимость одного сайта не доказывает взлом всех соседей. |
| Контейнер или облачное приложение | Исправление на основной ОС не обновляет PHP внутри старого образа. | Пересборку, развёртывание и отсутствие старых работающих экземпляров. |
| Устройство со встроенным веб-интерфейсом | PHP может поставляться внутри продукта и обновляться только его производителем. | Бюллетень поставщика и доступность административного интерфейса извне. |
| Сайт без PHP | Эта пара ошибок сама по себе не устанавливает его уязвимость. | Скрытые зависимости, отдельные панели и вспомогательные сервисы. |
Почему нельзя просто выключить загрузку файлов или включить WAF
Официальные рекомендации содержат временные настройки, ограничивающие известные пути, но полного обходного решения нет. Фильтрация на прокси может уменьшить поверхность атаки, однако не заменяет исправление памяти внутри PHP. Отключение одной функции загрузки не доказывает, что перекрыты остальные варианты.
Некоторые временные меры меняют поведение ограничения памяти. Их нельзя применять механически: если убрать программный лимит без продуманного ограничения ресурсов на уровне системы, можно создать риск отказа в обслуживании. Администратору следует сверять меры с актуальным предупреждением PHP, тестировать их для своей конфигурации и завершать работу установкой обновления.
При проверке важно различать два вопроса: «закрыта ли уязвимость» и «успел ли кто-то проникнуть». Патч отвечает на первый. Второй требует анализа событий, изменений файлов, процессов и обращений к внешним системам. Нетипичная активность не является автоматическим доказательством взлома, но требует проверки.
Это отдельный инцидент, не связанный с перенаправлением SSH через выходные узлы Tor: там пытались подменить конечный сервер, здесь ошибка находится в исполняющей веб-запросы программе.
Что делать владельцу сайта
- Уточнить у хостера или администратора версии всех веб-обработчиков PHP и наличие исправлений поставщика.
- Установить исправленные пакеты, обновить образы контейнеров и перезапустить рабочие процессы. Одного скачивания обновления недостаточно.
- Если обновиться нельзя, оценить временное ограничение внешнего доступа по рекомендациям PHP и CERT-EU. Частичные меры не устраняют обе ошибки полностью.
- Проверить журналы, изменения файлов и подозрительные процессы. При признаках проникновения расследовать инцидент и отозвать затронутые секреты: патч не удаляет уже оставленные средства доступа.
История показывает одновременно возможности автоматизированного поиска и пределы этого подхода: найти ошибку быстрее — полезно, но подготовить совместимое исправление и установить его на тысячах систем всё равно необходимо. Главная граница сейчас проходит между обновлённым обработчиком и доступной извне уязвимой установкой.