Национальный центр кибербезопасности Нидерландов отключил сайт, правительственные сайты нескольких стран недоступны: как уязвимость PHP вывела из строя организации по всему миру?

21 октября 2026 года собственный официальный сайт Национального центра кибербезопасности Нидерландов (NCSC) временно не открывался. В тот же день были недоступны сайты Палаты представителей Нидерландов и правительства Финляндии, французский орган по защите данных CNIL закрыл свой сайт, а японские pixiv и Niconico перешли в режим экстренного обслуживания.

Это была не атака, а «превентивное отключение». Причиной, по которой эти организации предпочли приостановить работу, стали два экстренных патча, выпущенных PHP днём того же дня: CVE-2026-109618 и CVE-2026-109619. Обе уязвимости получили оценку 9,2 по шкале CVSS v4.0, и в сообществе безопасности их называют «php2shell».

Эти уязвимости относятся к классу «неаутентифицированное удалённое выполнение кода»: злоумышленнику не требуется входить в систему или совершать какие-либо действия со стороны жертвы, чтобы заставить сервер выполнить произвольный код. Удар нанесла не только сама уязвимость, но и то, как происходило её устранение: от обнаружения до исправления потребовалось около 71 дня, а в последние 24 часа из-за утечки информации выпуск был ускорен. При этом более 70% из примерно 1,03 миллиона серверов с раскрытой версией работают на версиях PHP, официальная поддержка которых уже прекращена.

По данным компании Wiz, по крайней мере одна из уязвимостей присутствует во всех версиях начиная с PHP 5.4. Однако первые признаки проблемы появились при работе над проблемами из аудиторского отчёта 2024 года.

Тот аудит финансировался Sovereign Tech Agency, организовывался OSTIF и проводился Quarkslab. Он длился около двух месяцев, выявил 27 проблем, из которых 17 были связаны с безопасностью (3 высокого, 5 среднего и 9 низкого уровня), результатом стали 4 номера CVE. В отчёте прямо указано: «Из-за бюджетных ограничений аудит был сосредоточен на наиболее критичных компонентах, а не на всей кодовой базе».

PHP Foundation позже пояснила, что первые признаки проблемы OOM были обнаружены основным разработчиком, получающим финансирование, при работе над исправлением одной из проблем, перечисленных в аудиторском отчёте Quarkslab. В 2024 году проводился теоретический анализ возможности эксплуатации этой проблемы, но конкретный способ атаки найден не был, и затем она была отодвинута на второй план другими, более явными проблемами.

Корень проблемы лежит в обработке памяти: CVE-2026-109618 возникает, когда запрос полностью исчерпывает установленный в PHP лимит памяти. Обработка прерывается, оставляя наполовину инициализированные внутренние данные, которые затем используются как корректные, что приводит к повреждению памяти. CVE-2026-109619 возникает, когда фатальная ошибка происходит в неподходящий момент: внутреннее состояние PHP всё ещё указывает на память, уже освобождённую предыдущим запросом, и тот же рабочий процесс повторно использует эту память при обработке последующих запросов, создавая уязвимость «использование после освобождения».

Затронуты все установки PHP, обрабатывающие веб-запросы, включая модуль Apache mod_php, PHP-FPM, php-cgi, FrankenPHP и LiteSpeed и другие способы запуска. Наибольший риск представляет mod_php: запрос без аутентификации может вызвать уязвимость до выполнения любого кода приложения, и полное удалённое выполнение кода было продемонстрировано в конфигурации по умолчанию. Злоумышленник может прочитать пароли, токены аутентификации, ключи API и сертификаты из памяти серверного процесса.

Помощь ИИ в отчётах и застой из-за консенсусной модели

11 августа 2026 года исследователь компании Calif Ryan Austin сообщил о первом случае удалённого выполнения кода без каких-либо условий, первопричина которого совпадала с проблемой OOM, обнаруженной в 2024 году; в тот же день OpenAI независимо сообщила о той же первопричине. 24 августа Wiz подала отдельный отчёт; 18 сентября OpenAI сообщила о дополнительных способах эксплуатации.

Исследователь Calif использовал модель OpenAI GPT-5.6 Sol для содействия аудиту. Генеральный директор Calif Thai Duong 11 августа позвонил инженеру по безопасности PHP Foundation Volker Dusch, чтобы предупредить его. OpenAI заявила, что, насколько ей известно, это первый случай, когда продвинутый ИИ обнаружил такую уязвимость раньше злоумышленников, открыв «окно защитника». Соучредитель Wiz Ami Luttwak назвал это «самой серьёзной уязвимостью, когда-либо обнаруженной ИИ», и отметил, что она настолько сложна, что без ИИ её было бы трудно найти.

Однако работа над исправлением неоднократно приостанавливалась и возобновлялась в течение нескольких месяцев.

PHP Foundation открыто признала: «Мы не будем притворяться, что это не так: эта задержка стала структурной неудачей, вызванной как процессами принятия решений в команде безопасности, так и нехваткой ресурсов». Команда работает по консенсусной модели, и работа над исправлением «неоднократно приостанавливалась и возобновлялась в течение нескольких месяцев».

Команда безопасности разработала несколько конкурирующих подходов к исправлению, каждый со своими недостатками: нарушение обратной совместимости, новые риски отказа в обслуживании или необходимость масштабных изменений в сторонних расширениях, что «казалось невозможным скоординировать»; команда «боялась последствий выбора неверного направления». В итоге исправление затронуло почти 200 файлов и более 10 000 строк кода, велось под руководством мейнтейнеров PHP и заняло около двух месяцев в условиях секретности.

Среди предложенных PHP Foundation мер — переход команды безопасности к принятию решений большинством голосов и стимулирование компромиссов среди участников.

Рисунок: Oracle October 2026 Critical Patch Update Addresses 1209 CVE (источник: jp.tenable.com)

Ночь 20 октября: утечка и досрочный выпуск

Первоначально выпуск был запланирован на 22 октября. 20 октября около 15:00 (UTC) два номера CVE начали распространяться на форумах и в социальных сетях с неверной датой выпуска и неверной оценкой CVSS 10,0 (фактическая — 9,2), но без технических деталей.

Около 20:00 Calif случайно опубликовала видео, демонстрирующее работу эксплойта против нескольких целей; копии распространились в социальных сетях. PHP Foundation заявила, что это видео помогло другим ускорить разработку собственных инструментов для атак.

В 19:30 команда PHP опубликовала предупреждение и перенесла выпуск на 21 октября 14:00 (UTC). В уведомлении говорилось: «Команда безопасности PHP заранее уведомляет: 21 октября 2026 года в 14:00 UTC будет выпущено обновление безопасности, исправляющее две критические уязвимости с оценкой CVSSv4 9,2. Пользователям PHP рекомендуется подготовиться к обновлению. Если детали будут раскрыты или появятся доказательства активной эксплуатации, выпуск будет ускорен».

Той же ночью компания watchTowr подтвердила подлинность уязвимостей; её генеральный директор Benjamin Harris заявил: «Учитывая деликатность ситуации, мы пока не можем делиться технической информацией, но можем подтвердить, что эти уязвимости действительно существуют».

В тот же день на Hacker News появился пост с предупреждением (позже удалённый), автор которого признавал, что у него нет «никаких доказательств, кроме „источник: поверь мне, брат“», но при этом точно указал обе уязвимости, оба номера CVE, дату раскрытия и ошибочно назвал оценку 10,0.

Запланированный двухдневный буфер сжался до одной ночи.

21 октября: отключения и правила

21 октября в 07:41 (UTC) компания по безопасности цепочек поставок ПО Chainguard досрочно выпустила контейнерные образы с исправлениями — более чем на шесть часов раньше согласованного времени раскрытия. PHP Foundation заявила, что это «пренебрегло неделями работы многих сторон».

Официальные патчи PHP фактически были выпущены около 13:35 (UTC), на несколько минут раньше запланированных 14:00. Правила WAF Cloudflare были включены по умолчанию для бесплатных и платных пользователей в 03:02 (UTC), примерно на девять часов раньше официального раскрытия; правила используют сигналы как запросов, так и ответов, чтобы блокировать попытки атак и предотвращать утечку данных. Технический директор Cloudflare Dane Knecht заявил: «Мы наблюдаем ранние атаки и обновляем меры смягчения по мере появления новых методов. Это лишь временное решение».

Официальный сайт Национального центра кибербезопасности Нидерландов был отключён в качестве меры предосторожности; некоторые правительственные сайты Нидерландов и Финляндии стали недоступны; сайт французского органа по защите данных CNIL был закрыт; японские BASE, pixiv и Niconico перешли в режим экстренного обслуживания. Министерство внутренних дел Франции сообщило, что сайты местных органов власти были временно отключены в качестве меры предосторожности; затронуты также больницы. Нидерландская ассоциация электронной коммерции Thuiswinkel.org временно отключила часть своих сайтов и рекомендовала членам в тот же день связаться с техподдержкой, отметив, что «менять версии нужно не только в WordPress/WooCommerce, но и в любых системах».

Премьер-министр Японии Sanae Takaichi вечером опубликовала пост в X, призвав проверить системы и подготовиться к установке патчей.

Агентство ЕС по кибербезопасности CERT-EU 20 октября выпустило бюллетень безопасности № 2026-018, рекомендовав организациям, которые не могут установить патчи, «рассмотреть возможность изоляции веб-ориентированных приложений от публичных сетей»; Национальный центр кибербезопасности Великобритании заявил, что «если немедленное исправление невозможно, организациям следует рассмотреть возможность отключения систем до полного смягчения». Агентство кибербезопасности и защиты инфраструктуры США (CISA) 21 октября выпустило оповещение с рекомендацией обновить PHP; системы версии 8.1 и старше, которые невозможно обновить, следует «отключить». Аналогичные рекомендации выпустили ACSC при Австралийском управлении радиотехнической разведки, японское IPA и французское CERT-FR. Агентство национальной безопасности США (NSA) заявило в социальных сетях: «Эти уязвимости часто дают прямой доступ к файловой системе или базе данных сервера».

Более 70% систем не имеют официальных патчей

PHP официально выпустила минимальные патчи для исходного кода для неподдерживаемых версий PHP 7.4, 8.0 и 8.1; дистрибутивы Linux и поставщики долгосрочной поддержки (LTS) получили патчи заранее. Исправленные версии: PHP 8.5.12, 8.4.27, 8.3.36, 8.2.35.

Однако более старые версии могут полагаться только на дистрибутивы или отключение от сети. По данным VirusTotal, среди серверов с указанной версией около 758 000 работают на PHP 5.4–8.1 (без официальных патчей), а около 272 000 — на поддерживаемых ветках. CyberScoop со ссылкой на исследователей сообщает, что более 1,3 миллиона интернет-доступных хостов могут быть затронуты; Shodan насчитывает около 1,9 миллиона. Среди 1,03 миллиона PHP-серверов с указанной версией более 70% (73,6%) работают на ветках PHP 5.4–8.1.

Cisco Talos на основе открытых данных оценивает, что около 50% PHP-систем не получат патчей.

Поддержка безопасности ветки PHP 8.2 заканчивается 31 декабря 2026 года. При следующей вспышке уязвимостей такого уровня у предприятий, остающихся на 8.2, будет лишь около двух месяцев буфера.

По данным исследовательской компании W3Techs, PHP используется примерно на 70% известных сайтов на серверных языках; WordPress занимает около 43% сайтов в мире. Wordfence напоминает: каждый сайт WordPress работает на PHP-сервере, но автоматические обновления WordPress не исправляют сам PHP.

Функция прогресса загрузки сессии PHP (session.upload_progress, включённая по умолчанию более десяти лет, но редко используемая на практике) является одним из подтверждённых векторов атаки; среди рекомендаций по смягчению — отключение этой функции и уменьшение post_max_size, однако PHP официально заявляет, что «полных мер смягчения не существует, обновление — единственный безопасный выбор». Основной разработчик PHP Gina Peter Banyard сказал: «Единственный способ смягчения — установить патч или обновить PHP». Менеджер выпуска PHP 8.6 Joe Ferguson, отвечая на совет «просто отключите session.upload_progress», заявил: «Настройки ini вас не спасут».

По состоянию на 21 октября не было подтверждённых жертв взлома, объёмов утечки данных или сумм ущерба; публично известны только «отключения в качестве меры предосторожности» и «наблюдение Cloudflare за атакующим трафиком».

Компания Sansec прогнозирует: «Мы ожидаем начала массовых атак в течение 15 минут после выпуска». Руководитель отдела анализа угроз watchTowr Jake Knott заявил: «Хотя пока никому не удалось добиться успеха, мы не думаем, что это продлится долго». Генеральный директор Calif Thai Duong сказал: «Любой человек в Twitter может взять патч, запустить ИИ и выложить скрипт атаки. Тогда начнётся хаос».

Инженер по безопасности PHP Foundation Volker Dusch сравнил это событие с Heartbleed 2014 года, назвав его самой серьёзной проблемой безопасности PHP за последние десять с лишним лет; относительно компромисса при досрочном выпуске он сказал, что был достигнут «хороший баланс» между «предупреждением защитников» и «не давая злоумышленникам слишком большого времени на разработку».

Независимый консультант по безопасности и приглашённый старший научный сотрудник Королевского колледжа Лондона Lukasz Olejnik заявил: «Всем следует немедленно установить патчи, атаки могут начаться очень быстро и в огромных масштабах. ИИ делает эксплуатацию таких уязвимостей неотложной. Реально, речь идёт о минутах». Нидерландский этичный хакер Wouter van Dongen отметил: «Патч закрывает уязвимость, но не отменяет предыдущие вторжения… Многие системы останутся уязвимыми надолго, потому что не все обновятся сразу, а для старых версий PHP больше нет официальных обновлений безопасности».