21 октября 2026 года охранная фирма Wiz Research раскрыла ряд критических уязвимостей в ядре PHP-движка, предупредив, что эти недостатки, получившие общее название PHP2Shell, делают возможным удаленное выполнение кода без аутентификации и раскрытие памяти в стиле Heartbleed в программном обеспечении, на котором работает примерно 70 процентов всех веб-сайтов. В тот же день проект PHP выпустил исправления, и Wiz призывает к немедленным обновлениям огромной установленной базы Интернета.

PHP является основой большей части Интернета: он поддерживает WordPress, Joomla, Drupal и MediaWiki, программное обеспечение, на котором работает Википедия. Важно отметить, что недавно обнаруженные ошибки находятся в ядре PHP, а не в каком-либо приложении, построенном на его основе, а это означает, что сайты могут быть раскрыты, даже если их собственный код приложения защищен. Подробнее об этой истории — в нашем новости об ИИ.

Каковы уязвимости

Согласно техническому отчету Wiz, написанному исследователями Саги Цадиком, Широм Тамари, Ниром Офельдом и Томером Шварцем, все обнаруженные ошибки представляют собой проблемы безопасности памяти, коренящиеся в том, как PHP обрабатывает фатальные ошибки во время обработки запросов, особенно ошибки нехватки памяти. Сбойный запрос может оставить поврежденное внутреннее состояние PHP, а более поздний запрос или исполнитель, который повторно использует это устаревшее состояние, может вызвать раскрытие памяти или ее повреждение.

Результаты были сгруппированы по двум CVE с максимальной тяжестью CVSS 9,2:

  • CVE-2026-109618 — десериализатор хода загрузки с использованием после освобождения, который злоумышленник может использовать для удаленного раскрытия памяти процесса и, в продемонстрированных цепочках, полного удаленного выполнения кода. Wiz продемонстрировал раскрытие рабочей памяти PHP без аутентификации и предварительную аутентификацию RCE в WordPress, Drupal и Joomla.
  • CVE-2026-109619 — обратная трассировка при фатальной ошибке use-after-free в сочетании с путаницей типов OPcache, которая также продемонстрировала возможность удаленного выполнения кода перед аутентификацией в Drupal и WordPress.

По словам Wiz, память, которую могут прочитать злоумышленники, может содержать пароли, токены аутентификации, ключи API и сертификаты, принадлежащие другим запросам или самому серверу. Каждая версия PHP, выпущенная за последнее десятилетие, начиная с PHP 5.4, содержит по крайней мере одну из уязвимостей, и компания заявляет, что они входят в число самых серьезных недостатков, когда-либо обнаруженных в PHP.

Где появляется искусственный интеллект

Наиболее значимое утверждение в отчете Wiz касается вовсе не PHP, а того, что передовые модели ИИ сделали для использования разработок.

Основные недостатки, пишет Уиз, существовали десятилетиями, но доказательство возможности использования требовало «исключительно сложной цепочки шагов, находящейся на грани того, чего исследователи-люди могли практически достичь». Эксплоит должен был объединить несколько уязвимостей и адаптироваться к структуре памяти каждой цели посредством многократного тестирования и отладки.

По словам компании, модели Frontier AI существенно снизили этот барьер — «превратив давнюю ошибку в эксплойт» — и позволили команде Wiz разрабатывать и адаптировать рабочие эксплойты для множества приложений за часы, а не недели.

«Поскольку время и опыт, необходимые для этой работы, уменьшаются, сложность больше не может быть значимым барьером, меняя то, как мы определяем, что уязвимо на практике», — пишут исследователи.

Поворотный момент в эпоху искусственного интеллекта?

Wiz явно сравнивает PHP2Shell с двумя более ранними переломными моментами в веб-безопасности: Heartbleed в 2014 году, который выявил хрупкость общей инфраструктуры, обеспечивающей безопасность Интернета, и Log4Shell в 2021 году, который показал, как глубоко встроенные зависимости программного обеспечения создают широкое распространение. Компания утверждает, что PHP2Shell может стать аналогичным поворотным моментом — на этот раз иллюстрируя, как ИИ меняет практическую возможность использования давно известных слабостей.

Эта структура имеет значение, выходящее за рамки PHP. Теоретические уязвимости, которые были безопасно недоступны, поскольку их эксплуатация была слишком сложной, слишком медленной или слишком специализированной, теперь могут оказаться в пределах досягаемости хорошо обеспеченных ресурсами злоумышленников, вооруженных инструментами искусственного интеллекта — сдвиг, который имеет очевидные последствия для оборонных бюджетов, частоты исправлений и сроков раскрытия информации в индустрии программного обеспечения.

Скоординированное межотраслевое решение

Раскрытие информации было скоординированным. Wiz поблагодарил команду PHP и OpenAI за их работу по обнаружению, координации и проверке исправлений, отметив, что и OpenAI, и PHP опубликовали свои собственные технические описания истории уязвимости и процесса раскрытия.

Межотраслевая группа, в которую входят Automattic, Akamai, AWS, Cloudflare, Fastly, Google, Imperva, Microsoft и Vercel, подготовила рекомендации и готовые меры по устранению проблем для клиентов, которые не могут немедленно исправить ситуацию. Cloudflare отдельно объявила 21 октября, что развернула защиту WAF от уязвимостей PHP для своих клиентов.

Что следует делать владельцам сайтов

Совет от Wiz банален: патчите немедленно. Проект PHP выпустил исправления для уязвимостей безопасности памяти 21 октября 2026 года, и каждое поддерживаемое развертывание PHP должно быть обновлено как можно скорее.

Организациям, которые не могут сразу же внести исправления, следует применить меры по смягчению последствий, опубликованные их провайдерами CDN, хостинга или WAF, некоторые из которых с первого же дня предоставили правила, нацеленные на цепочки эксплойтов. Администраторам парков WordPress, Drupal и Joomla следует рассматривать это как приоритетный цикл исправлений: Wiz продемонстрировал удаленное выполнение кода с предварительной аутентификацией на всех трех платформах, а уязвимые пути кода существуют независимо от того, насколько хорошо поддерживаются приложения над ними.

Более глубокий урок может заключаться в том, который извлекла сама Wiz: когда ИИ может сжать месяцы разработки эксплойтов до часов, рабочее определение в отрасли «практически эксплуатируемого» — а вместе с ним и значение ответственных сроков исправления — только что изменилось.

---

Будьте в курсе ИИ

Последние новости, аналитика и прорывы в сфере ИИ — всё в одном месте.

Читать больше новостей об ИИ →