Cloudflare зафиксировала миллионы попыток хакерских атак после раскрытия уязвимостей PHP

Две критические уязвимости в PHP, получившие общее название php2shell, после публичного раскрытия за несколько часов превратились в мишень для миллионов атак. По данным Cloudflare, число запросов выросло от тысяч до десятков тысяч за первые 45 минут, затем до сотен тысяч и до миллионов. Разработчики выпустили экстренные обновления, а власти ряда стран отключили часть государственных сайтов до установки исправлений.

PHP работает почти на 70% сайтов в интернете по оценке Cloudflare. На нём построены WordPress и Magento, поэтому брешь в интерпретаторе касается и тех, кто не написал на этом языке ни строчки собственного кода. Владелец магазина на готовой платформе зависит от версии PHP на сервере не меньше, чем программист.

Две ошибки памяти и удалённый запуск кода

Уязвимости получили идентификаторы CVE-2026-109618 и CVE-2026-109619, обе оценены в 9,2 балла из 10 по шкале CVSS 4.0. Злоумышленник без аутентификации может выполнить на сервере произвольный код, добраться до чувствительных данных или остановить сервис. Обе ошибки связаны с памятью, но срабатывают по-разному:

• первая возникает при нехватке оперативной памяти, когда PHP прерывает обработку запроса до подготовки внутренних структур и обращается к некорректным данным;
• вторая проявляется при фатальных ошибках, когда процесс хранит ссылки на уже освобождённые данные и пользуется ими при следующих запросах;
• под удар попадают версии PHP начиная с 5.4, а наибольший риск разработчики видят в конфигурациях Apache с модулем mod_php.

Тысячи, десятки тысяч, миллионы

Генеральный директор Cloudflare Мэтью Принс рассказал Reuters, как росла нагрузка на сеть компании:

• в течение 10 часов до публичного объявления она видела тысячи попыток эксплуатации;
• за первые 45 минут после раскрытия их число достигло десятков тысяч;
• через 2 часа оно перевалило за сотни тысяч;
• к моменту публикации сообщения запросов насчитывалось миллионы.

Миллионы запросов не означают миллионов взломанных серверов. Один и тот же ресурс получает множество вредоносных обращений, часть атак блокируется на сетевом уровне. Публичные данные Cloudflare описывают масштаб активности, а не число успешных взломов. Злоумышленникам не нужно искать ошибки самим, они берут опубликованные сведения и автоматизируют рассылку запросов по потенциально уязвимым серверам.

Искусственный интеллект помог найти ошибки в PHP

По данным OpenAI, одну из уязвимостей нашла модель GPT-5.6 Sol в рамках инициативы Patch the Planet. Исследователи Wiz независимо обнаружили и передали разработчикам обе ошибки. Cloudflare развернула правила межсетевого экрана (WAF) примерно за 9 часов до раскрытия, клиенты с активным WAF, в том числе на бесплатных тарифах, получили защиту автоматически. Те же модели, которые помогают исследователям находить ошибки, позволяют злоумышленникам быстрее разбирать опубликованные сведения и собирать инструменты атаки. OpenAI отметила, что подобные находки станут обычным делом по мере развития моделей.

Исправления вышли 21 октября для четырёх поддерживаемых веток языка:

• в версии 8.5.12;
• в версии 8.4.27;
• в версии 8.3.36;
• в версии 8.2.35.

PHP 8.1 и более старые версии обновлений безопасности от основного проекта больше не получают, поэтому организациям на устаревших ветках придётся переходить на поддерживаемый релиз, а не ждать отдельного патча.

По данным Reuters, 21 октября в Европе временно отключили государственные, образовательные и медицинские сайты. В Нидерландах это коснулось правительственных ресурсов и больниц, в Германии сайтов федеральных ведомств, во Франции ресурсов префектур. Власти объясняли решения профилактикой, а не подтверждённым взломом. В Японии Mitsubishi UFJ Financial Group приостановила часть интернет-сервисов, власти Китая призвали организации проверить системы, а Южная Корея повысила уровень предупреждения о киберугрозах для частного сектора. Европейские киберведомства рекомендовали определить, где используется PHP, согласовать обновления с хостинг-провайдерами и первыми закрыть системы, доступные из интернета.

Где искать уязвимый PHP

Дефект находится в самом PHP и не привязан к стране, хостингу или системе управления контентом, поэтому российские организации находятся в том же положении, что и остальные. Данных о числе успешных атак на российские ресурсы через эти уязвимости в открытых источниках нет, но отсутствие статистики не означает отсутствия попыток эксплуатации. Версию PHP надо проверить не только на основных веб-серверах, но и в других местах:

• в контейнерах и окружениях разработки;
• в сторонних продуктах со встроенной поставкой языка;
• у хостинг-провайдера, уточнив, установлены ли исправления на стороне сервера.

Обновление WordPress, плагина или темы не устраняет ошибку в самом интерпретаторе, а WAF служит барьером на время обновления и не заменяет исправление. Cloudflare рекомендовала обновить PHP даже при активных защитных правилах.

Эксперты CISOCLUB отметили, что между раскрытием php2shell и первыми миллионами атак прошло несколько часов, поэтому квартальный цикл обновлений для критических дефектов уже не работает. Компаниям нужна актуальная опись серверов с версиями PHP, иначе поиск уязвимых систем начинается с нуля в момент выхода патча.

Публикация технических деталей даёт любому злоумышленнику материал для автоматизированной атаки, а ИИ ускоряет этот процесс. Отключение европейских ведомственных сайтов показало, что при отсутствии быстрого патча изоляция остаётся рабочей мерой. Для компаний на PHP 8.1 и ниже откладывание миграции становится прямым риском, поскольку исправлений для них не будет. WAF снижает вероятность взлома, но не закрывает ошибку, поэтому защитные правила следует считать временной мерой.

Ранее сообщалось, что с августа 2024 года вымогательская группировка SafePay скомпрометировала не менее 600 организаций, работающих в сферах критической инфраструктуры. О масштабах её деятельности предупредили американские CISA, ФБР и Секретная служба США совместно с правоохранительными органами Германии и Великобритании. В опубликованном совместном документе ведомства раскрыли применяемые злоумышленниками способы проникновения в корпоративные сети, эксплуатируемые уязвимости и методы уничтожения резервных копий.