Государственные ведомства в Европе и других регионах мира временно отключили свои сайты после обнаружения критических уязвимостей в PHP – языке программирования, на котором работает значительная часть интернета. Как сообщает информагентство Reuters, владельцы сайтов срочно устанавливают исправления, а хакеры пытаются воспользоваться брешами раньше, чем их успеют закрыть.
Разработчики PHP выпустили экстренные обновления в среду, 21 октября, и призвали пользователей установить их немедленно. Ошибки годами оставались в программном коде, пока исследователи с помощью искусственного интеллекта не показали, как использовать их для взлома.
Во многих случаях сайты отключили сами владельцы, чтобы защитить системы до установки обновлений. Но попытки атак уже идут, причем некоторые начались еще до официального раскрытия уязвимостей.
Чем опасна обнаруженная брешь
Две уязвимости получили общее название PHP2Shell. Они позволяют при определенных условиях запускать посторонний код на сервере без пароля и учетной записи. Злоумышленник может получить контроль над системой, похитить данные или изменить содержимое сайта. Степень опасности оценена в 9,2 балла из 10.
Как объясняют специалисты основанной израильтянами компании по кибербезопасности Wiz, проблема находится в самом PHP. Поэтому сайт может оказаться уязвимым, даже если в его собственном коде нет ошибок. Под угрозой версии начиная с PHP 5.4, однако возможность конкретного взлома зависит от устройства сервера и приложения.
PHP используется в WordPress, Drupal, Joomla, Magento и других популярных системах управления сайтами. Когда пользователь открывает страницу, сервер с помощью PHP собирает ее содержимое и отправляет в браузер.
По данным сервиса W3Techs, которые приводит Reuters, PHP используется примерно на 75% сайтов, чей серверный язык программирования удалось определить. Это не означает, что три четверти всех сайтов уже взломаны, но объясняет масштаб тревоги.
"Уязвимыми будут все серверы, использующие любую версию PHP, выпущенную за последние 20 лет. Эта проблема затрагивает большую часть интернета", – заявила руководитель ассоциации Drupal Тиффани Фаррис.
По оценке компании Censys, около 1,5 миллиона из 2,6 миллиона выявленных ею серверов с PHP сообщают об использовании версий, для которых исправление не выпущено.
Какие сайты отключили
В Нидерландах временно перестал работать даже сайт Национального центра кибербезопасности. Ведомство объяснило, что отключило его из предосторожности.
Аналогичные меры приняли порт Роттердама, государственный портал Overheid.nl, национальная футбольная ассоциация KNVB, пять крупнейших политических партий страны и несколько больниц.
В Дании компания Kombit, обслуживающая муниципальные информационные системы, отключила ряд сервисов, включая общенациональную платформу для общения школ с родителями.
В Финляндии государственный поставщик IT-услуг Valtori сообщил о профилактическом отключении государственных интернет-сервисов. Министерство внутренних дел Франции перевело все свои сайты в режим технического обслуживания.
Фонд Wikimedia, управляющий "Википедией", также сообщил об отключении части систем до безопасной установки исправлений. Internet Archive ненадолго приостановил работу по той же причине.
На ситуацию отреагировали и главы правительств. Премьер-министр Нидерландов сообщил, что внимательно следит за происходящим. Премьер Японии Санаэ Такаити призвала владельцев сайтов проверить, используют ли они PHP, и подготовиться к установке обновлений.
ИИ нашел ошибки и упростил их использование
Исследователи компании Calif, специализирующейся на поиске уязвимостей, обнаружили проблемы 1 августа с помощью большой языковой модели и с тех пор участвовали в подготовке исправлений.
Независимо от нее к сходным результатам пришли специалисты Wiz. Они использовали собственный инструмент автономного поиска уязвимостей Wiz Atlas, а также модели Gemini 4 Argon компании Google и GPT-5.6 Sol компании OpenAI.
Исследователи Wiz поясняют: прежде создание работающей атаки требовало чрезвычайно сложной ручной работы. Искусственный интеллект заметно снизил этот порог и позволил быстрее приспосабливать атаки к разным приложениям.
"До появления ИИ такую ручную работу было бы трудно выполнить и еще труднее масштабировать. С ИИ это больше не препятствие", – говорится в сообщении компании.
После публикации исправлений злоумышленники тоже могут использовать ИИ: сравнить старый и новый код, определить, что именно исправили, и подготовить атаку на еще не обновленные серверы.
Искусственный интеллект подстегивает "гонку за использованием уязвимости", заявил сооснователь компании TLP Костин Райу. Следующим этапом он назвал "массовый взлом каждого уязвимого веб-сервера в интернете".
При этом исследователь Calif отдельно отмечает: первоначальное открытие не потребовало доступа к закрытым моделям. Но знания специалиста об истории PHP и прежних ошибках оставались важной частью работы.
О проблеме знали раньше
Дополнительные подробности опубликовал фонд PHP. Признаки одной из ошибок обнаружили еще в 2024 году. Тогда предполагалось, что ее можно использовать для атаки, но конкретный способ взлома не нашли.
Работа над исправлением затянулась: варианты решения угрожали совместимости и работе сторонних компонентов, а специалистов с необходимыми знаниями было мало. Фонд признал, что задержка стала результатом организационных проблем и нехватки ресурсов.
Нарушился и план раскрытия информации. По версии фонда, 20 октября в интернете появились номера уязвимостей с ошибочными сведениями об их опасности и времени выхода обновлений. Затем Calif по ошибке опубликовала видео с демонстрацией взлома. Ролик удалили, но копии уже распространялись.
Кроме того, фонд обвинил компанию Chainguard в преждевременной публикации программных сборок с исправлениями. Это, по его оценке, позволило изучать изменения до общего выпуска обновлений. Релиз пришлось перенести с 22 на 21 октября.
Кто начал атаковать до публикации
По данным Amazon, первую попытку использования уязвимостей ее система MadPot зафиксировала еще 17 октября – за четыре дня до официального раскрытия. Под удар попал сервер-ловушка, предназначенный для наблюдения за действиями хакеров.
Атака пришла с адреса коммерческой сети анонимизации. Как злоумышленник узнал об уязвимости, компания пока не установила. Этот эпизод произошел раньше описанной фондом утечки 20 октября.
Новые попытки последовали утром 21 октября, также до снятия запрета на публикацию технических подробностей. Различия между ними указывают, что действовали несколько участников. При этом Amazon уточняет: еще неясно, сработали бы все обнаруженные попытки против реальных сайтов.
Установленной связи с конкретной страной или группировкой в сообщении нет.
Компания Cloudflare также сообщила об атаках до официального раскрытия и о попытках обойти установленные ею защитные фильтры. Компания подчеркнула, что даже при наличии такой защиты владельцам серверов необходимо обновить PHP.
Что защищено и кому сложнее всего
Компания Automattic, управляющая WordPress.com и Tumblr, заявила, что сайты на ее управляемых платформах уже защищены.
Это не распространяется автоматически на любой сайт с WordPress. Если он размещен у другого провайдера или на собственном сервере, необходимо проверить именно установленную версию PHP. Обновления самого WordPress, темы оформления или плагинов недостаточно.
Исправления выпущены для PHP 8.5.12, 8.4.27, 8.3.36 и 8.2.35. Для старых версий ситуация зависит в том числе от поставщика системы: некоторые компании самостоятельно переносят исправления в программное обеспечение с длительной поддержкой.
Наиболее уязвимыми могут оказаться небольшие сайты частных владельцев и организаций с ограниченными техническими ресурсами. Особенно если они используют общий хостинг и не могут самостоятельно обновить программное обеспечение сервера.
К утру 22 октября последствия вышли за пределы Европы. По обновленным данным Reuters, в Японии о временной приостановке отдельных интернет-сервисов сообщили банки, авиакомпания ANA, железнодорожная компания East Japan Railway и государственные ведомства. Финская Valtori предупредила, что возвращение некоторых сервисов может занять дни или недели: после установки исправлений системы необходимо тщательно проверить.
комментарии