PHP Foundation выпустила экстренные патчи для двух критических дыр, через которые хакеры могли удалённо выполнять код на серверах.
Интернет снова трясёт, и на этот раз — из-за Php. PHP Foundation раскрыла две критические уязвимости, которые в совокупности прозвали «PHP2Shell». В теории они позволяют неаутентифицированному злоумышленнику выполнить вредоносный код на сервере, получить доступ к файловой системе и базам данных. А поскольку на Php работает изрядная часть сайтов и веб-приложений, масштаб проблемы ощущается довольно быстро.
Экстренные обновления уже вышли: Php 8.5.12, 8.4.27, 8.3.36 и 8.2.35. Если у вас крутится Php — обновляться нужно вчера. Технические детали, векторы атак и инструкции по обновлению выложены на официальном сайте проекта.
Что именно дырявое
Обе уязвимости сидят в частях Php, которые затрагивает почти каждый запрос: управление памятью и обработка ошибок. Именно поэтому они такие серьёзные и такие неудобные для починки — правка ломает совместимость, бьёт по производительности или требует изменений в куче сторонних расширений.
История тянется с 2024 года. Тогда Php прошла первое за годы внешнее аудиторе безопасности при поддержке Sovereign Tech Agency, проверку проводила Quarkslab. Пока чинили одну из найденных проблем, разработчик ядра наткнулся на первые признаки проблемы с нехваткой памяти, которая позже превратилась в уязвимость. Потенциальный эксплойт теоретизировали ещё в 2024-м, но конкретных векторов тогда не нашли.
Дальше — знакомый сценарий: несколько конкурирующих подходов к исправлению, у каждого свои минусы, команда безопасности работала на консенсусе и боялась выбрать неправильный вариант. Плюс крошечная команда разработчиков ядра с нужными знаниями была занята другими задачами. В PHP Foundation прямо признают: задержка была структурным провалом, вызванным как процессом принятия решений, так и нехваткой ресурсов.
Кто забил тревогу
Реакция оказалась громкой. Агентство национальной безопасности США призвало организации срочно готовить обновления и рекомендовало отключать уязвимые системы, если патчить их прямо сейчас невозможно. ФБР предупредило, что злоумышленники могут использовать дыры для удалённого выполнения кода. Аналогичные предупреждения выпустили власти Сингапура, Великобритании, Австралии, Канады и Евросоюза.
Техногиганты тоже подключились. Amazon сообщила, что её команда Threat Intelligence зафиксировала попытки эксплуатации уязвимостей ещё до публичного раскрытия — через систему MadPot, которая мониторит подозрительную активность на интернет-инфраструктуре. Правда, как именно атакующие узнали о дырах заранее, остаётся неясным.
Google заявила, что её подразделение Wiz использовало ИИ-модели для поиска и проверки уязвимостей, а Gemini помогла оценить дыры и проверить патчи. OpenAI рассказала, что её исследователи с помощью моделей тоже помогли найти критические уязвимости в Php, и последние два месяца компания координировала коалицию мейнтейнеров и специалистов по безопасности. Cloudflare развернула защиту через свой веб-файрвол — дополнительный слой обороны для тех, кто ещё не обновился.
Что изменилось в безопасности Php
После аудита и этого инцидента PHP Foundation перестроила работу. В мае 2026 года появилась команда Ecosystem Security Team, которая помогает с триажем, координацией и укреплением безопасности. К работе подключились новые специалисты, включая AI Security Engineer in Residence. Фонд также сотрудничает с Alpha-Omega и сканирует код с помощью инструментов на базе ИИ, включая Anthropic's Claude Mythos и OpenAI's Daybreak Red.
Если коротко: Php никуда не денется, но доверять ей вслепую давно пора перестать. Обновляйтесь, проверяйте версии, не оставляйте уязвимые системы в открытом доступе. Скучная рутина, которая спасает от больших проблем. А если вы до сих пор держите где-то старую версию Php и думаете «и так сойдёт» — самое время передумать.