Уязвимости в многолетнем языке программирования PHP едва не привели к масштабным сбоям в интернете. Ошибки получили название PHP2Shell и официально зарегистрированы под номерами CVE-2026-109618 и CVE-2026-109619. Они позволяли удалённо проникнуть в систему, работающую на PHP, без пароля, а затем получить доступ к её данным или изменить их.
В среду PHP Foundation выпустила исправления для этих проблем. Крупнейшие интернет-компании и хостинг-провайдеры получили патчи заранее, чтобы успеть обновить инфраструктуру до публичного раскрытия информации. После публикации исправлений правительства начали призывать владельцев сайтов и организации срочно принять меры.
Из-за угрозы атак временно отключались сайты и сервисы банков, магазинов, игровых платформ, больниц и некоторых государственных учреждений. При этом специалисты по кибербезопасности предупредили, что многие системы по всему миру всё ещё остаются без обновлений. Уязвимые серверы могут использоваться для кражи данных и установки вредоносных программ.
Две ошибки обнаружили исследователи компании Calif во время проверки кода PHP. Их нашли ещё в 2024 году, однако тогда уязвимости не считались пригодными для атак и исправления не выпускались. Позднее специалисты разработали способ эксплуатации и сообщили о проблеме PHP Foundation, после чего началась подготовка патчей и координация их закрытого распространения.
Опасность PHP2Shell связана с возможностью удалённого выполнения кода без действий со стороны пользователя и без какой-либо аутентификации. PHP широко применяется в интернете благодаря бесплатной лицензии, относительной простоте и многолетнему присутствию в веб-разработке: примерно 70% доступной из интернета веб-инфраструктуры используют этот язык. На PHP работают, в частности, WordPress, Drupal, Joomla и MediaWiki, применяемая в Википедии.
По данным TechCrunch, Calif участвовала в инициативе Hack the Planet, которую проводили разработчик моделей искусственного интеллекта OpenAI и компания Wiz. Искусственный интеллект помогал исследователям при эксплуатации ошибки, но основная работа опиралась на их знания PHP и истории атак на этот код. «Ни одна модель пока не способна простыми запросами обнаружить все ошибки», — написали специалисты Calif.