Две критические дыры в PHP: сайты срочно обновляются, а фонд признал задержку
PHP, на котором работает огромная часть интернета, закрыл две дыры, через которые можно было запустить свой код на чужом сервере без пароля, и фонд PHP сам назвал задержку с исправлением провалом.
Событие: 21 октября 2026 г.
Первоисточник: 21 октября 2026 г.
Опубликовано у нас: 22 октября 2026 г. в 04:55 UTC
Чтение: 2 мин
Что случилось
21 октября PHP выпустил версии 8.5.12, 8.4.27, 8.3.36 и 8.2.35. Они закрывают две критические уязвимости. Через них взломщик без логина мог выполнить свой код на сервере. Фонд PHP признал, что первые признаки одной из ошибок нашли ещё в 2024 году.
Почему это касается тебя
На PHP работают интернет-магазины, банки, СМИ и госсервисы. Если сайт, где лежат твои данные или деньги, не обновился, он под угрозой. Американское агентство CISA советует ставить заплатку сразу, а кто не может, отключать такие серверы.
Что проверить и за чем следить
Есть ли у твоего сайта или хостинга новая версия PHP. Сообщения о реальных атаках: CISA на момент совета их не видела. И новые сбои сайтов, которые уходят в офлайн на время обновления.
Что за дыры. Первая связана с нехваткой памяти. Если запрос упирается в лимит памяти в неудачный момент, PHP оставляет недоделанные внутренние данные и потом принимает их за нормальные. На Apache с mod_php такой запрос можно отправить ещё до того, как сработает код самого сайта. Вторая дыра в обработке фатальных ошибок: следующий запрос может взять память, которая принадлежала предыдущему. В обоих случаях исследователи показали удалённый запуск кода.
Почему так долго. Фонд PHP пишет, что первые признаки проблемы с памятью нашли в 2024 году во время внешнего аудита. Тогда реального способа атаки не видели, а у каждого варианта исправления были минусы: поломка совместимости или правки во множестве сторонних расширений. Команда безопасности решала всё консенсусом, и работа месяцами застревала. Фонд прямо называет это структурным провалом из-за порядка принятия решений и нехватки людей.
Что сдвинуло дело. 11 августа исследователь компании Calif и, независимо, OpenAI сообщили о полноценной атаке с тем же корнем. Потом добавились отчёты Wiz и ещё от OpenAI. С этого момента исправление стало главным приоритетом команды.
Утечка. 20 октября номера уязвимостей начали гулять по форумам раньше срока, поэтому выпуск перенесли с 22 на 21 октября. Технических деталей, по словам фонда, тогда не утекло, но настоящая оценка опасности 9,2 из 10.
Реакция. По данным Reuters, сайты госорганов в Европе и других странах уходили в офлайн. Агентство нацбезопасности США предупредило, что такие дыры часто дают прямой путь к файлам и базе данных сервера. CISA советует найти все системы с PHP, обновить сначала те, что смотрят в интернет, а версии 8.1 и старше держать офлайн до обновления.
Подтверждённые факты
- 21 октября PHP выпустил версии 8.5.12, 8.4.27, 8.3.36 и 8.2.35, которые закрывают две критические уязвимости удалённого выполнения кода.[1][2]
- Уязвимости CVE-2026-109618 и CVE-2026-109619 позволяют выполнить код без авторизации и затрагивают все установки PHP, которые обслуживают веб-запросы.[2]
- Первая уязвимость связана с повреждением памяти при достижении memory_limit; на Apache с mod_php её можно вызвать до запуска кода приложения.[1]
- Вторая уязвимость связана с устаревшим глобальным состоянием после фатальной ошибки: следующий запрос мог использовать уже освобождённую память.[1]
- Первые признаки проблемы с памятью нашли в 2024 году; фонд назвал задержку с исправлением структурным провалом из-за процесса решений и нехватки ресурсов.[1][3]
- 11 августа 2026 года о полноценной атаке с тем же корнем сообщили исследователь Calif и, независимо, OpenAI; позже отчёты прислали Wiz и снова OpenAI.[1]
- 20 октября около 15:00 UTC номера уязвимостей утекли в сеть с неверной оценкой 10,0; реальная оценка CVSS 9,2. Выпуск перенесли с 22 на 21 октября.[1]
- CISA на момент публикации не наблюдала эксплуатации этих уязвимостей и советует обновиться немедленно, а системы, которые нельзя обновить сразу, и версии 8.1 и старше отключить.[2]
- Агентство национальной безопасности США заявило, что такие уязвимости часто дают прямой путь к файловой системе или базе данных сервера.[3]
- Сайты госорганов в Европе и других странах уходили в офлайн после раскрытия уязвимостей.[3]
Последствия
- ПодтвержденоЛюбой сайт на PHP без новой версии остаётся уязвимым к удалённому захвату сервера.
- Наш выводВ ближайшие дни возможны сбои и временные отключения сайтов, которые не успели обновиться.
- Наш выводИстория подтолкнёт крупные компании больше платить за безопасность открытого кода, на котором они зарабатывают.
Пока неизвестно
- Сколько серверов в мире всё ещё работает на уязвимых версиях.
- Будут ли подтверждённые атаки через эти дыры и какой от них ущерб.
- Когда хостинги и готовые сборки обновят PHP у всех клиентов.
Кого касается
Весь мир. Владельцы сайтов и интернет-магазинов, разработчики, все, кто хранит данные и деньги в онлайн-сервисах
Источники
- The PHP Foundation: Today's PHP Security Release, and How We're Strengthening PHP Security 21 октября 2026 г. · официальный
- CISA: Critical Vulnerabilities in PHP Require Immediate Patching 21 октября 2026 г. · официальный
- Reuters: PHP developers issue updates to fix vulnerabilities, says flaw was found in 2024 21 октября 2026 г. · СМИ
Обложка: Графика Freekonomist, символическое изображение, не фотография события. Это новостной разбор, а не финансовый совет.
Ещё материалы
Банк Кореи взял паузу со ставкой 3%, но прямо говорит о новых повышениях
Центробанк Южной Кореи оставил ставку 3% после двух повышений подряд, но написал, что решает только, когда и насколько поднимать дальше.
Meta заработала больше прогнозов, но тратит на ИИ больше, чем приносит бизнес
Выручка Meta за третий квартал выросла на 26%, до $64,6 млрд, но расходы на дата-центры для ИИ превысили деньги, которые принёс основной бизнес.
Инфляция в Новой Зеландии замедлилась до 3,7%, но ставку всё равно ждут выше
Цены в Новой Зеландии за год выросли на 3,7%, чуть меньше прогноза, но это всё ещё выше цели центробанка, и рынок почти уверен в повышении ставки на следующей неделе.
Рынок за 2 минуты, каждое утро
Что случилось за ночь, что это значит и за чем следить сегодня. Простыми словами, с объяснениями и про твои активы. Отписка в один клик.