Критична уразливість у PHP ставить під загрозу до 70% веб-сайтів
Уразливість у ядрі PHP, мові, на якій працює значна частина веб-сайтів, дозволяє зловмисникам виконувати команди на сервері. Виправлення вже доступне, і власникам сайтів варто оновити програмне забезпечення.
Критична уразливість у PHP, мові програмування, на якій працює значна частина інтернету, поставила під загрозу близько 70% веб-сайтів. Виправлення вже доступне, тож власникам ресурсів варто встановити оновлення якомога швидше. Про проблему попередили державні установи та виробники програмного забезпечення, зокрема в США, а уряди й організації в різних країнах почали терміново перевіряти свої системи.
Йдеться про дефект у самому ядрі PHP і бібліотеках, які воно використовує. Через це він не є помилкою в коді окремого сайту: будь-яка неоновлена система з PHP залишається вразливою. Зловмисники можуть знайти такі ресурси за допомогою автоматизованих інструментів, а потім запустити експлойт, що отримав назву PHP2Shell. Він дає так званий «shell access», тобто прямий доступ до командного рядка сервера, що обходить інтерфейс сайту і відкриває доступ до даних і повного контролю над ресурсом.
Уразливість була виявлена в серпні 2026 року дослідниками компанії з безпеки, які використали просунуту модель штучного інтелекту від OpenAI. Фахівці повідомили про проблему неприбутковій організації, що веде розробку PHP, перш ніж оприлюднити її. Однак інформація про дефект витекла до того, як були випущені виправлення. За словами фахівців Amazon Web Services, хакери почали «масово» намагатися використати цю вразливість. Ідеться про ситуацію, коли координоване розкриття інформації було порушено, а час на оновлення систем виявився обмеженим.
Саме тому, за оцінками фахівців, наслідки можуть виходити далеко за межі однієї компанії чи платформи. PHP лежить в основі сайтів на кшталт WordPress, а отже, стосується мільйонів веб-ресурсів. Серед користувачів таких систем є державні установи, університети, лікарні та бізнес. Затримка з оновленням може призвести до витоку чутливих даних, перерв у роботі або створити точку входу для атак на більші мережі.
Цей випадок також показує подвійну роль штучного інтелекту в кібербезпеці. Сучасні моделі здатні аналізувати величезні масиви коду і знаходити приховані помилки за години або дні, тоді як раніше для цього були потрібні великі команди фахівців. Водночас ті самі можливості можуть використати й зловмисники, щоб швидко сканувати мережу в пошуках вразливих цілей та автоматизувати створення інструментів атак. Уразливість, за даними дослідників, існувала в основному коді PHP понад десять років.
Звичайним користувачам інтернету, які лише відвідують сайти, завантажувати патч не потрібно, оскільки PHP працює на віддалених серверах. Проте власникам сайтів, блогів і серверів варто негайно перевірити панель адміністрування або звернутися до хостинг-провайдера, щоб переконатися, що встановлено останню виправлену версію PHP. Якщо ресурс розміщений у третьої сторони, слід уточнити, чи вона вже закрила уразливість. Фахівці наголошують, що забезпечення безпеки веб-інфраструктури є постійним процесом, а не одноразовою дією.
13
