Искусственный интеллект выявил две критические уязвимости в безопасности PHP, языка программирования, который незаметно обеспечивает работу большинства интернет‑ресурсов, заставив организации по всему миру в срочном порядке отключать сайты, чтобы не дать хакерам шанс ими воспользоваться.

Ошибки больше десяти лет оставались незамеченными в исходном коде PHP. Потребовались передовые модели ИИ от OpenAI и Google, чтобы давно подозреваемый слабый пункт превратить в реальную атаку, и теперь началась гонка за тем, чтобы закрыть эту брешь.

По мере того как стремительное развитие возможностей ИИ подпитывает опасения новой эры кибератак, важно понимать, что происходит.

Реакция Европы

Нидерланды отключили систему цифровой идентификации DigiD, правительственный портал Overheid.nl и сайт нижней палаты парламента; вслед за ними были остановлены сайты порта Роттердам, больниц и пяти крупнейших политических партий страны.

Свой сайт временно снял и Национальный центр кибербезопасности Нидерландов.

Государственный ИТ‑провайдер Финляндии Valtori превентивно отключил государственные веб‑сервисы, Министерство внутренних дел Франции перевело сайты местных администраций в режим технического обслуживания, а федеральная ИТ‑служба Германии ITZBund остановила работу нескольких порталов.

CERT-EU, служба кибербезопасности для институтов ЕС, пошла дальше большинства, порекомендовав организациям, которые не могут немедленно установить обновление, полностью отключить сайты, а не рисковать взломом.

Еврокомиссия, ENISA, CERT-EU, Европол и сеть национальных команд реагирования на киберинциденты ЕС выпустили совместное заявление с призывом к организациям действовать без промедления, уделяя приоритетное внимание системам, доступным из интернета.

Что такое PHP и почему это важно?

Созданный в начале 1990‑х, PHP изначально расшифровывался как Personal Home Page и сегодня, по данным компании Wiz Research, которая называет его «каркасом интернета», работает «за кулисами» примерно семи из десяти сайтов.

Пока такие языки, как HTML, отвечают за то, что пользователь видит на странице, PHP обрабатывает то, чего не видно: проверку учетных данных, проведение платежей, формирование и выдачу контента.

Он лежит в основе WordPress, Drupal и Joomla — платформ, на которых работают и личные блоги, и интернет‑магазины, и государственные порталы.

Именно этот охват превращает две ошибки в глобальное событие. По оценке Wiz, каждая версия PHP, выпущенная за последние десять лет, уязвима как минимум к одной из проблем, и даже простейшая страница «Hello World» на не обновленном сервере может оказаться под угрозой.

Исправление было выпущено в среду, и Фонд PHP обратился к ИТ‑подразделениям по всему миру с призывом: если вы используете PHP, крайне важно обновиться немедленно.

Защищенными считаются версии PHP 8.5.12, 8.4.27, 8.3.36 и 8.2.35. Все более старые редакции официально не поддерживаются и должны рассматриваться как уязвимые, если только поставщик не перенес исправление самостоятельно, предупредила в своем уведомлении аварийная команда реагирования ЕС по кибербезопасности (CERT-EU).

В результате по всему миру временно отключаются приложения и сайты: от сайта полиции Парижа до трекера сна поклонников Pokémon, пока разработчики обновляют базовый код. В Европе в качестве меры предосторожности были сняты с сети и многие государственные ресурсы.

Как ИИ обнаружил уязвимости?

Обе проблемы, которым присвоены идентификаторы CVE-2026-109618 и CVE-2026-109619 и которые получили оценку 9,2 из 10 по шкале серьезности, находятся в частях PHP, к которым обращается почти каждый запрос, то есть в механизмах управления памятью и обработки ошибок.

Если веб‑запрос достигает предела памяти PHP в крайне неподходящий момент, программное обеспечение можно обмануть и заставить выполнять код злоумышленника без какой‑либо авторизации.

Фонд PHP признал, что первые признаки проблемы его разработчики заметили еще в 2024 году во время внешнего аудита.

Был описан теоретический вариант эксплуатации, но без четкого сценария атаки и с небольшой ключевой командой, которой приходилось оценивать последствия внесения изменений, работа над исправлением то останавливалась, то возобновлялась в течение нескольких месяцев. Фонд назвал задержку «структурным провалом».

Затем подключился ИИ. В августе компания Calif, проводившая финансируемый OpenAI аудит исходного кода PHP и использовавшая модель OpenAI GPT-5.6 Sol, сообщила о полностью рабочей удаленной атаке с той же исходной причиной.

OpenAI независимо указала на ту же проблему в тот же день. Через две недели Wiz представила дополнительные варианты атак, применяя собственный инструмент Wiz Atlas совместно с Gemini 4 Argon и GPT-5.6 Sol.

«С передовыми моделями ИИ и подходящими инструментами один исследователь за неделю сделал то, на что ранее у команды мирового уровня ушли бы месяцы работы», написали специалисты Wiz.

В OpenAI назвали эту находку «одной из самых значимых уязвимостей последних лет» и добавили, что она «отмечает новый этап, когда ИИ способен находить ошибки безопасности с последствиями в масштабах всего интернета».

Результаты исследования держали в секрете, пока готовилось исправление.

Во вторник днем идентификаторы двух уязвимостей появились на онлайн‑форумах и в соцсетях.

Команда PHP выпустила обновление на день раньше запланированного, а Calif по ошибке опубликовала, а затем удалила видео с демонстрацией работы прототипа атаки против нескольких целей, сообщил Фонд PHP. Копии ролика быстро разошлись.

«Проблема с такими инструментами, как ИИ, в том, что как только вся информация оказывается в открытом доступе, ее можно очень быстро превратить в оружие», сказал AFP Стив Керрисон, старший преподаватель по кибербезопасности кампуса Университета Джеймса Кука в Сингапуре.

«Именно поэтому все реагируют на эту угрозу с такой срочностью».

Уже произошли взломы сайтов?

Не обязательно. «Отключение сайтов само по себе не означает, что их взломали. Это может быть ответственная мера для защиты систем на время установки обновлений безопасности», объяснил Димитриос Салампасис из Технологического университета Суинберна в Австралии.

Фонд PHP сообщил, что его команда безопасности изучила демонстрационный код, который распространялся после утечки, и на момент выпуска обновления не выявила работоспособных вариантов атаки.

«Имеющиеся у исследователей данные говорят о том, что никто пока активно не пытается проводить атаки с использованием известных техник», отметил Керрисон.

Однако ситуация меняется. Компания Cloudflare, управляющая веб‑инфраструктурой, в среду заявила, что зафиксировала попытки атак на своих клиентов, а CERT-EU предупредила: публикация технических деталей значительно повышает вероятность того, что злоумышленники уже изучают уязвимости.

Крупные структуры, от госведомств до СМИ, скорее всего смогут обновиться достаточно быстро. Другие останутся под ударом гораздо дольше.

«Есть сайты, системы и люди, которые вообще не знают об этой проблеме и не узнают еще днями, неделями и месяцами», предупредил Керрисон.

Под это описание попадают и блоги частных пользователей, и сайты малого бизнеса, которые хакеры могут захватить, чтобы распространять вирусы, рассылать спам или размещать вредоносный контент.

Могут быть другие последствия?

Любая утечка данных может аукнуться пользователям и после установки патча, если их личная информация будет использована для фишинговых атак, когда человека обманом склоняют выдать пароль или данные платежной карты.

Запутанная, взаимосвязанная структура онлайн‑сервисов означает и то, что риск не исчезает сразу после обновления собственного сервера. Многие сайты зависят от сторонних сервисов, которые тоже могут работать на PHP.

Если такие сторонние поставщики медлят с установкой патча, «то даже обновив свои системы, вы все равно остаетесь незащищенными», пояснила Рахат Масуд, старший преподаватель по кибербезопасности Университета Нового Южного Уэльса в Сиднее.

При этом, добавил Керрисон, одним лишь PHP дело не ограничивается. Надежная кибербезопасность опирается на несколько уровней защиты, чтобы одна сломанная «засовка» не открывала все двери сразу.

Фонд PHP, со своей стороны, использует этот эпизод, чтобы обратиться с настойчивым призывом. Язык обеспечивает работу госуслуг, банков и интернет‑магазинов по всему миру, но его безопасность по‑прежнему держится на небольшой группе оплачиваемых разработчиков и добровольцев.

Сегодня инструменты позволяют находить ошибки быстрее, чем когда‑либо, отметили в фонде, однако решения о том, как исправлять их, не ломая интернет, требуют опыта и участия высококвалифицированных инженеров.