Две критические дыры в PHP, получившие общее название PHP2Shell (CVE-2026-109618 и CVE-2026-109619), позволяют без пароля выполнить код на сервере. Патчи вышли 21 октября, но разбор показывает, что атаки начались раньше.
Что известно
Уязвимости нашла компания Calif. Сначала их сочли неэксплуатируемыми, потом исследователи придумали способ атаки и сообщили в PHP Foundation. Фонд организовал закрытое эмбарго, чтобы крупные компании и хостеры успели обновиться заранее. Под удар попадали WordPress, Drupal, Joomla и MediaWiki, на котором работает Википедия. По оценке статьи, на PHP держится около 70% веб-сайтов.
Где всё пошло не по плану
Amazon заметила попытки эксплуатации примерно за неделю до публикации патчей и советовала искать следы с 17 октября. Версий несколько: утечка во время эмбарго, независимое открытие той же дыры или шпионаж. Фонд винит одну компанию, которая выложила исправления за несколько часов до конца эмбарго. К концу пятницы взломы подтвердили Palo Alto Networks и Trail of Bits, а в Cloudflare сообщили о резком росте попыток атак после раскрытия.
Роль ИИ
Calif говорит, что ИИ помогал с эксплуатацией, но основную работу сделал опыт людей. По её словам, ни одна модель пока не способна найти все баги простым запросом.
Что делать
Банки, магазины и больницы отключали серверы ради обновления. Дольше всех будут латать мелкие команды, одиночные разработчики и продукты со встроенным PHP, а устаревшие системы могут не обновиться никогда. Практический вывод: обновить PHP и проверить журналы начиная с 17 октября.