Правительства и компании по всему миру спешно отключают сайты и устанавливают экстренные обновления после обнаружения критических уязвимостей в языке программирования PHP, который обеспечивает работу около 70 процентов всех веб-ресурсов планеты, вызвав волну из миллионов хакерских атак.
Масштабные сбои и отключения правительственных сайтов
Правительственные и корпоративные ресурсы по всему миру столкнулись с экстренными отключениями после того, как в середине недели в сети появились сведения о критических программных багах. В Нидерландах государственные сайты, включая портал цифровой идентификации DigiD, портал Overheid.nl и сайт нижней палаты парламента, стали недоступны. Вслед за ними отключились порт Роттердама, больницы и пять крупнейших политических партий страны. В Нидерландском агентстве кибербезопасности сообщили, что отключили собственный сайт в качестве меры предосторожности. Во Франции Министерство внутренних дел перевело сайты местных администраций в режим технического обслуживания, а немецкая федеральная IT-служба ITZBund закрыла несколько правительственных порталов.
Аналогичные меры затронули и другие страны. В Канаде официальный сайт Статистического управления Канады и портал Бюро интеллектуальной собственности прекратили работу на фоне глобальных сбоев. Министр по делам искусственного интеллекта Эван Соломон заявил, что отключения проводятся для защиты государственных систем и данных граждан по указанию Канадского центра кибербезопасности. В провинции Британская Колумбия также временно убрали часть веб-страниц из сети.
В Великобритании Центр правительственной связи (NCSC) разослал около 50 000 предупреждений пострадавшим организациям. Бывший руководитель NCSC Киран Мартин назвал брешь «очень плохой», отметив, что это «самая серьезная уязвимость, обнаруженная за последние пять лет». В то же время Даунинг-стрит заявила, что критически важные государственные сервисы не пострадали, а временное отключение некоторых ресурсов не означает факт взлома. Среди таких сайтов оказался ресурс шоу BBC «Traitors». Британская торговая палата, представляющая тысячи работодателей, сообщила, что ситуация пока не вызывает значительных трудностей у фирм.
В Японии премьер-министр призвал бизнес и организации либо установить патчи, либо полностью отключить сайты. В префектуре Осака из-за системного сбоя стала недоступна служба машинного перевода.
Две критические уязвимости и роль искусственного интеллекта
Обнаруженные проблемы затрагивают язык программирования PHP, созданный в 1990-х годах и лежащий в основе подавляющего большинства веб-приложений. Согласно данным исследователей из компании Wiz Research, уязвимости получили название PHP2Shell и затронули все версии PHP, выпущенные за последнее десятилетие, начиная с версии 5.4.
Проблемы зарегистрированы под идентификаторами CVE-2026-109618 и CVE-2026-109619. Обеим уязвимостям присвоен балл опасности 9,2 из 10 по стандартной шкале CVSS, что относит их к категории «критических». Ошибки связаны с управлением памятью и обработкой фатальных ошибок (например, при нехватке памяти). Это позволяет неавторизованным злоумышленникам удаленно выполнять произвольный код (RCE), изменять содержимое сайта, похищать конфиденциальные данные из баз или использовать сервер как платформу для новых атак. В частности, Wiz подтвердила возможность неавторизованного выполнения кода в системах WordPress (21 августа) и Drupal (20 августа).
Исследователи отмечают беспрецедентный характер инцидента, так как баги были найдены с помощью систем искусственного интеллекта. Фирма Calif, работая с OpenAI, обнаружила первую уязвимость 11 августа, используя модель GPT-5.6 Sol. Команда Wiz обнаружила свою уязвимость 19 августа, задействовав ИИ-агента Wiz Atlas, модель Gemini 4 Argon от Google и GPT-5.6 Sol. OpenAI охарактеризовала это открытие как одну из самых значимых уязвимостей в современной памяти, ознаменовавшую фазу, когда ИИ может находить баги с «масштабом влияния на весь интернет».
«Причина того, что сейчас возникло такое чувство срочности, заключается в том, что возможности, усиленные ИИ, теперь есть у всех — не только у защитников, но и у атакующих», — сообщил Мэтт Суиш в интервью CNBC.
Мэтт Суиш отметил, что такая срочность — явление новое, которого не существовало еще год назад. По его словам, до появления мощных моделей, таких как Mythos от Anthropic в апреле 2026 года, поиск уязвимостей занимал недели или месяцы, а теперь может сократиться до нескольких часов. Суиш также предупредил, что многие муниципальные органы власти используют устаревший PHP и не обновляли сайты более 10 лет, что делает их критические данные крайне уязвимыми.
PHP Foundation признала задержку с выпуском патча «структурным провалом», отметив, что теоретическая возможность эксплойта обсуждалась еще в 2024 году, но была проигнорирована. Обновления были опубликованы в среду, 21 октября, в 10:00 по восточному времени (14:00 UTC).
Миллионы хакерских попыток и опережающие защитные меры
Потоки вредоносного трафика начали фиксироваться еще до официального релиза патчей. Глава облачной компании Cloudflare Мэтью Принц сообщил в социальных сетях, что за 10 часов до публичного объявления системы зафиксировали тысячи попыток взлома. После официального уведомления число попыток выросло до десятков тысяч за первые 45 минут, затем до сотен тысяч в течение двух часов и в итоге достигло миллионов.
В самой компании Cloudflare заявили, что с 3:02 утра по UTC 21 октября клиенты с бесплатным или платным WAF были защищены по умолчанию. Компания развернула несколько мер смягчения последствий, включая новые правила для бесплатных пользователей (Ruleset ID 77454fe2d30c4220b5701f6fdfb893ba) и технологию анализа полных транзакций. Технический директор Cloudflare Дейн Кнехт предупредил, что меры брандмауэра являются лишь временной мерой.
Спецслужбы также зафиксировали раннюю активность. СД ФБС предупредила, что уязвимости позволяют удаленно выполнять код. CJ Мозес, руководитель службы безопасности одной из организаций, сообщил о попытке эксплойта уже 17 октября, за четыре дня до раскрытия информации, хотя отчеты Calif и Wiz все еще находились под эмбарго. Amazon Threat Intelligence также зафиксировала попытку взлома 17 октября.
Эксперты призывают организации незамедлительно установить официальные обновления безопасности. Шахак Шалев из Malwarebytes назвал ситуацию «золотой жилой для хакеров». Рахат Масуд из Университета Нового Южного Уэльса добавил, что даже после обновления собственного сайта компания может оставаться уязвимой, если ее сторонние сервисы, использующие PHP, еще не установили патчи.
Генеральный директор Microsoft Сатья Наделла, выступая в Кёльне, подчеркнул, что этот инцидент демонстрирует необходимость создания цифровых систем, которые могут поддерживаться безопасно в долгосрочной перспективе.
Продолжение темы
