В среду开源网络技术 PHP, существующая уже десятилетиями, едва не парализовала интернет из-за двух уязвимостей, методы эксплуатации которых были недавно найдены исследователями после многих лет сна.
Эти уязвимости называются PHP2Shell, их официальные номера — CVE-2026-109618 и CVE-2026-109619. Проще говоря, эти уязвимости позволяют любому, кто знает, как их использовать, взломать онлайн-системы, работающие на PHP, такие как веб-сайты или серверы, доступные из интернета, без пароля и получить доступ к данным или изменить их.
С учетом серьезности инцидента, это событие было масштабным и заставило миллионы людей по всему миру срочно применить обновления к системам до того, как злонамеренные хакеры смогли их использовать.
PHP Foundation, ответственная за поддержку PHP-веб-программного обеспечения, в среду публично выпустила исправление, которое после установки предотвращает атаки на веб-серверы. Ранее фонд предоставил приоритетный доступ к исправлению некоторым крупнейшим интернет-компаниям и хостинг-провайдерам, зависящим от PHP.
Благодаря неделям скрытых переговоров и осторожной координации в отрасли, в глобальном масштабе до сих пор удалось избежать масштабного использования интернета. Начиная с среды, правительства различных стран начали призывать граждан и предприятия, владеющие веб-сайтами, принять меры для снижения собственного риска. Банки, ритейлеры, игровые сайты, интернет-магазины, больницы и некоторые государственные учреждения отключили свои серверы, чтобы предотвратить атаки.
Однако исследователи безопасности предупреждают, что дело еще не закончено: по всему миру остается множество систем, для которых еще не установлены исправления, и которые остаются уязвимыми для взломов и кражи данных.
Это также вряд ли будет последним крупным кризисом интернет-программного обеспечения. Некоторые ожидают, что появление искусственного интеллекта быстро выявит множество еще не обнаруженных уязвимостей, ожидающих обнаружения и эксплуатации.
Что произошло?
Исследователи безопасности из Calif обнаружили две уязвимости в PHP. PHP — это язык программирования, широко используемый по всему миру для создания веб-сайтов и веб-приложений, как в интернете, так и для локально развернутых систем в корпоративных сетях, таких как интранеты и внутренние сайты.
Эти уязвимости были обнаружены еще в 2024 году, но тогда не считались эксплуатируемыми, поэтому не были исправлены. Недавно исследователи безопасности нашли способы их эксплуатации и предупредили разработчиков программного обеспечения о необходимости срочного устранения.
Калифорния уведомила PHP Foundation, которая сразу же приступила к устранению уязвимости и координации раскрытия информации. Фонд предоставил крупным компаниям возможность заранее установить исправления, обеспечив конфиденциальность информации и патчей в строгий период неразглашения — то есть до определенной даты окончания.
Почему эти уязвимости настолько серьезны?
PHP2Shell опасен, потому что им можно злоупотреблять удаленно через интернет, причем жертве не нужно нажимать на ссылку или открывать файл. Это называется удаленным выполнением кода — один из самых разрушительных типов уязвимостей, поскольку позволяет хакерам из любой точки мира почти полностью контролировать уязвимые и необновленные системы.
Еще хуже то, что эти конкретные уязвимости PHP позволяют злоумышленникам через интернет взломать любую незащищенную систему без пароля или других учетных данных — это называется неаутентифицированным доступом.
Это позволит вредоносным хакерам установить вредоносное программное обеспечение на компьютере, например, для кражи данных или просто для создания долгосрочной точки доступа, чтобы вернуться в будущем.
Почему 70% веб-страниц затронуты?
PHP — это лишь одна из многих устаревших, но всё ещё функционирующих технологий, которые пережили несколько этапов эволюции интернета и смену поколений и теперь повсеместно распространены, словно клей, поддерживающий большую часть работы интернета. Часто эти инструменты разрабатываются открытыми поддерживаемыми разработчиками, которые не получают оплату за свою работу и, соответственно, не могут позволить себе сторонние аудиты безопасности — однако компании всё ещё широко зависят от этих проектов, не предоставляя им финансовой поддержки.
Were these vulnerabilities discovered by artificial intelligence?
Исследователи безопасности Calif были отмечены за обнаружение этих уязвимостей во время проведения аудита безопасности PHP-кода в начале этого года. Calif участвовал в инициативе Hack the Planet, запущенной OpenAI и лидером в области облачной безопасности Wiz, которая затем подтвердила концептуальные эксплойты, разработанные Calif.
В пояснительной статье Calif (также с комиксом — отлично, стоит посмотреть), исследователи объясняют, что искусственный интеллект использовался для помощи в эксплуатации уязвимости, но большая часть работы все еще зависела от имеющихся знаний исследователей и их знакомства с кодовой базой PHP и историей эксплуатации уязвимостей.
Calif написал: «Ни одна модель не может просто по простому запросу сразу выявить „все уязвимости“. По крайней мере, пока не может».
Почему эти уязвимости были использованы до их раскрытия?
Несмотря на усилия всех сторон по сохранению конфиденциальности деталей уязвимости до среды, похоже, что до выпуска патча уже появились некоторые эксплуатации PHP2Shell.
Из-за своего масштаба и высокой видимости Amazon обладает огромной осведомленностью об онлайн-угрозах. В блог-посте компания сообщила, что примерно за неделю до выпуска патча для PHP обнаружила признаки эксплуатации PHP2Shell, что указывает на то, что где-то кто-то уже знал, как использовать уязвимости до их широкой публикации. Amazon отметила, что пока неизвестно, как хакеры узнали об этих уязвимостях, но защитникам следует провести анализ на предмет признаков эксплуатации начиная с 17 октября.
Существует несколько версий того, как произошел инцидент. Как только уязвимость будет устранена, детали исправления могут сразу стать очевидными, особенно в открытом исходном коде, таком как PHP, который доступен для публичного просмотра любым. Эксплуатация этих уязвимостей может быть непростой, но знание местоположения уязвимости и того, как она была устранена, может помочь злоумышленникам определить цели для атаки и разработать эксплойты.
Также возможно, что в период запрета произошла утечка где-либо или произошел сбой в коммуникации. Открытое сообщество огромно, и контроль информации таким способом зависит от добросовестного сотрудничества всех сторон.
Кроме того, хакеры могли самостоятельно обнаружить эти уязвимости заранее или узнать о них в результате шпионской деятельности.
Исследователи отмечают, что для того чтобы сделать эти уязвимости действительно эксплуатируемыми, требуется значительная работа; вооружение уязвимостей всегда было сложной задачей — но не невозможной — что объясняет, почему мы до сих пор не видели масштабных случаев эксплуатации.
Интернет пережил масштабные сбои, но сейчас восстанавливается. Удалось ли нам избежать худшего сценария?
Слишком рано делать выводы, но пока не наблюдается признаков массового использования, что, по крайней мере, является обнадеживающим сигналом — однако мы еще не вышли из зоны риска.
Генеральный директор компании по кибербезопасности и мониторингу Cloudflare Мэттью Принс заявил на этой неделе, что компания зафиксировала экспоненциальный рост попыток эксплуатации уязвимостей после их раскрытия. Это также косвенно свидетельствует о том, насколько быстро злонамеренные участники пытаются использовать эти недостатки в своих интересах.
PHP используется не только для веб-серверов, но и для разработки инструментов, командной строки и терминальных пакетов, а также других программных компонентов, используемых маршрутизаторами, устройствами хранения и корпоративными устройствами безопасности, такими как брандмауэры и VPN.
Следует ожидать, что эксплуатация PHP2Shell будет продолжаться в дальнейшем, поскольку небольшие ИТ-команды и независимые разработчики могут обновляться медленнее. В то же время многим компаниям, интегрирующим PHP в свои продукты и программное обеспечение, также необходимо обновиться, что займет определенный переходный период.
По мере того как все больше устройств и систем завершают обновления, поверхность атаки постепенно сокращается. Однако цепная реакция этих уязвимостей может сохраняться годами, особенно в устаревших системах, которые невозможно обновить.
Will this happen again?
За годы работы в качестве журналиста по кибербезопасности это был редкий день, когда интернет остановился. В 2016 году огромная ботнет-сеть атаковала интернет-регистратор Dyn массированным трафиком, что привело к почти полной остановке работы множества ведущих веб-сайтов. В 2017 году Северная Корея с помощью украденных хакерских инструментов американского правительства заразила британскую систему здравоохранения и выпустила вымогательское ПО. В 2024 году сбойное обновление CrowdStrike вызвало глобальный масштабный сбой, в результате которого одновременно отключились большинство компьютеров под Windows по всему миру.
С точки зрения всех аспектов, благодаря PHP2Shell интернет избежал дня, который мог бы быть чрезвычайно болезненным и разрушительным. Однако это вряд ли будет последним крупным инцидентом, повлиявшим на сеть, и, возможно, это лишь начало серии событий, использующих уязвимости устаревших технологий. Во многом это связано с тем, что сами эти старые, но повсеместно используемые программные решения имеют скрытые дефекты, которые еще не были обнаружены, а также с тем, что инструменты искусственного интеллекта сделали обнаружение уязвимостей проще.
PHP, как и другие веб-технологии программирования, появившиеся десятилетия назад, относится к программному обеспечению, не являющемуся безопасным с точки зрения памяти, что означает возможность атак на целый класс уязвимостей, приводящих к утечке или переполнению чувствительных данных из хранилища памяти. Агентство национальной безопасности США заявляет, что примерно 75% уязвимостей, которые активно эксплуатируются, используют дефекты, связанные с памятью, то есть хакеры часто применяют именно такие уязвимости.
Это побудило отрасль перейти на языки с безопасной работой с памятью, такие как Python, Rust и Swift, которые не подвержены злоупотреблениям, характерным для уязвимостей памяти. Следовательно, эти языки в значительной степени защищены от большинства уязвимостей, которые до сих пор влияют на их предшественников.
Но это все еще оставляет значительную часть интернета, работающую на PHP, мультимедийных и видео кодеках, библиотеках сжатия и других программных решениях, созданных десятилетия назад — и когда эти технологии выходят из строя, это оказывает огромное влияние на всю сеть.