Две критические уязвимости в PHP поставили под угрозу значительную часть интернета. По разным оценкам, этот язык используется примерно на 70% сайтов, поэтому проблема затронула не только отдельные серверы, но и крупные платформы, государственные ресурсы и давно работающие онлайн-сервисы.
PHP лежит в основе таких проектов, как Wikipedia, WordPress и Drupal. Уязвимый код также обнаружился в инфраструктуре DeviantArt и 4Chan. После публикации информации об атаках оба сервиса временно отключались, а последствия инцидентов вышли далеко за пределы обычного обновления нескольких веб-серверов.
Главная сложность связана с масштабом проблемы: уязвимость присутствует практически в каждой версии PHP, выпущенной примерно за последние 20 лет. Многие из этих релизов больше не поддерживаются разработчиками, поэтому для них невозможно получить стандартное исправление безопасности.
Почему обновление не решает проблему для всех
Владельцы сайтов на актуальных версиях могут перейти на исправленные сборки PHP и проверить настройки серверов. Однако старые системы часто завязаны на устаревшие CMS, плагины, библиотеки и собственные расширения. Простая замена интерпретатора в таких конфигурациях способна нарушить работу сайта или сделать несовместимыми критически важные компоненты.
Особенно уязвимы проекты, которые поддерживаются нерегулярно или давно заброшены. Для них остаются изоляция серверов, отключение опасных функций, фильтрация входящих запросов и перенос приложения на современную платформу. В некоторых случаях единственным безопасным решением может стать окончательное отключение сервиса.
Под удар попали не только коммерческие сайты. Internet Archive на короткое время оказался недоступен из-за проблем, связанных с PHP. О сбоях также сообщалось в инфраструктуре Cloudflare. Два старых японских мобильных проекта объявили о закрытии, поскольку не смогли безопасно продолжить работу после появления эксплойта PHP2Shell.
Масштаб инцидента оказался настолько большим, что специалисты охарактеризовали его как одну из наиболее серьёзных уязвимостей в истории программного обеспечения. Отдельное внимание привлекло использование модели GPT-5.6 Sol для выявления критического дефекта, однако автоматическое обнаружение не отменяет необходимости ручной проверки серверов и приложений.
Какие версии PHP ещё получают исправления
По официальному циклу поддержки PHP, ветка 8.2 получает обновления безопасности до конца 2026 года, PHP 8.3 - до конца 2027 года, а PHP 8.4 - до конца 2028 года. Более старые ветки, включая PHP 7.4 и PHP 8.0, уже сняты с поддержки. PHP 7.4 перестал получать исправления 28 ноября 2021 года, а PHP 8.0 - 26 ноября 2023 года.
Администраторам рекомендуется определить версию PHP на каждом сервере, проверить журналы обращений к подозрительным скриптам, обновить CMS и расширения, а также ограничить доступ к административным панелям. Одного обновления операционной системы недостаточно: уязвимость может находиться непосредственно в используемой версии PHP или в приложении, которое запускается через неё.
Ситуация показывает, насколько опасной может быть зависимость веб-инфраструктуры от давно не обслуживаемых компонентов. Даже если сам сайт выглядит небольшим, его сервер способен использовать общий хостинг, старую панель управления или библиотеку, присутствующую в тысячах других проектов. Поэтому последствия PHP-эксплойта могут проявляться ещё долго после первых исправлений.
