У середу стара, налічує більше десятиліть, відкрита мережева технологія PHP майже зупинила інтернет через два вразливості, які були знайдені дослідниками як експлуатовані після багатьох років сну.
Ці вразливості називаються PHP2Shell, їх офіційні номери — CVE-2026-109618 та CVE-2026-109619. Просто кажучи, ці вразливості дозволяють будь-кому, хто знає, як їх використовувати, отримати доступ до онлайн-систем, що працюють на PHP, наприклад, сайтів чи інтернет-серверів, без пароля та отримати доступ до даних або змінити їх.
З урахуванням серйозності події, цей інцидент був дуже великий і змусив мільйони людей по всьому світу поспішно застосувати патчі до систем, перш ніж зловмисні хакери зможуть їх використати.
Фонд PHP, відповідальний за підтримку PHP-веб-програмного забезпечення, у середу публічно випустив виправлення, яке після встановлення запобігає атакам на веб-сервери. Раніше фонд надав пріоритетний доступ до виправлення деяким найбільшим інтернет-компаніям та хостинг-провайдерам, які залежать від PHP.
Завдяки кільком тижням таємних переговорів та обережної координації в галузі, на глобальному рівні до цього часу вдалося уникнути масового використання інтернету. З середи уряди країн почали закликати громадян і підприємства, що володіють веб-сайтами, вжити заходів для зменшення власного ризику. Банки, роздрібні торговці, ігрові сайти, онлайн-магазини, лікарні та деякі урядові установи вимкнули свої сервери, щоб запобігти атакам.
Але дослідники безпеки попереджають, що справа ще не закінчилася: у всьому світі залишається багато систем, які ще не отримали оновлень і залишаються вразливими до вторгнень та крадіжки даних.
Це також дуже ймовірно не останній великий кризис інтернет-програмного забезпечення. Деякі очікують, що з’явлення штучного інтелекту швидко виявить більше невиявлених, що чекають на відкриття та зловживання, вразливостей.
Що відбулося?
Дослідники безпеки з Calif виявили дві вразливості в PHP. PHP — це мова програмування, яка широко використовується по всьому світу для створення веб-сайтів і веб-додатків, як у Інтернеті, так і у локально розгорнутих системах корпоративних мереж, наприклад, у внутрішніх мережах та внутрішніх сайтах.
Ці вразливості були виявлені ще в 2024 році, але тоді вважалося, що їх неможливо використати, тому вони не були виправлені. Недавно дослідники безпеки знайшли спосіб їх використання і попередили розробників програмного забезпечення про необхідність швидкого виправлення.
Calif повідомив PHP Foundation, яка відразу ж розпочала виправлення вразливості та координацію розкриття. Фонд надав велиkim компаніям можливість раннього встановлення виправлень, надаючи інформацію та патчі в період строгого конфіденційності — тобто зберігаючи їх у таємниці до певної дати закінчення.
Чому ці вразливості настільки серйозні?
PHP2Shell є серйозною проблемою, оскільки її можна використовувати на відстані через інтернет, причому жертва не повинна натискати посилання або відкривати файл. Це називається виконанням коду на відстані і є одним із найбільш руйнівних типів уразливостей, оскільки вони можуть дозволити хакерам з будь-якої точки світу майже повністю керувати вразливими та не оновленими системами.
Ще гірше те, що ці конкретні вразливості PHP дозволяють зловмисникам отримати доступ до будь-якої незахищеної системи через інтернет без пароля чи інших облікових даних, що називається неавторизованим доступом.
Це дозволить зловмисним хакерам встановити шкідливе програмне забезпечення на комп’ютері, наприклад, для крадіжки даних або просто для підтримки довгострокового доступу, щоб згодом повернутися.
Чому 70% веб-сайтів постраждали?
PHP — це лише одна з багатьох застарілих, але все ще працездатних технологій, які пережили кілька етапів розвитку Інтернету та зміни поколінь і зараз повсюдно присутні, майже як клей, що тримає разом більшу частину Інтернету. Часто ці інструменти розробляються волонтерами з відкритим кодом, які не отримують оплати за свою роботу і, відповідно, не можуть дозволити собі сторонній аудит безпеки — проте підприємства все ще широко залежать від цих проектів, не надаючи їм фінансової підтримки.
Чи були ці вразливості виявлені штучним інтелектом?
Дослідники безпеки Calif отримали визнання за виявлення цих вразливостей під час аудиту безпеки PHP-коду на початку цього року. Calif брав участь у програмі Hack the Planet, ініційованій OpenAI та лідером у сфері хмарної безпеки Wiz, які підтвердили концепційні докази експлуатації, створені Calif.
У пояснювальній статті Calif (також із коміксом — чудово, варто переглянути) дослідники пояснюють, що штучний інтелект використовувався для допомоги у використанні цієї вразливості, але більша частина роботи все ще залежала від раніше набутих знань дослідників та їхньої знайомості з кодовою базою PHP та історією експлойтів.
Calif написав: «Жодна модель не може за допомогою простого запиту безпосередньо виявити „усі вразливості“. Щонайменше, поки що ні».
Чому ці вразливості вже використовувалися до розголошення?
Незважаючи на зусилля всіх сторін зберегти деталі вразливості в таємниці до середи, здається, що до випуску патча вже з’явилися деякі експлуатації PHP2Shell.
Завдяки своєму масштабу та високій видимості, Amazon має величезний огляд онлайн-погроз. У блозі компанія повідомила, що приблизно за тиждень до публікації патча для PHP виявила ознаки використання PHP2Shell, що свідчить про те, що хтось у якомусь місці вже знав, як експлуатувати ці вразливості, перш ніж деталі стали загальнодоступними. Amazon зазначила, що наразі невідомо, як хакери дізналися про ці вразливості, але захисникам слід перевірити дані з 17 жовтня на наявність доказів експлуатації.
Щодо ходу події існує кілька версій. Після усунення вразливості деталі патчу можуть швидко стати очевидними, особливо в таких відкритих кодах, як PHP, де будь-хто може відкрито переглядати код. Використання цих вразливостей може бути не простим, але знання місця розташування вразливості та того, як вона була виправлена, може допомогти зловмисникам визначити цілі та розробити експлойти.
Також існує ймовірність, що під час заборони відбулася витік інформації або перерва у зв’язку. Відкрите співтовариство є дуже великим, і контроль інформації таким чином залежить від чесності та співпраці всіх сторін.
Крім того, хакери могли самостійно виявити ці вразливості або дізнатися про них шляхом шпигунської діяльності.
Дослідники зазначили, що для того, щоб ці вразливості справді стали експлуатованими, потрібно багато зусиль; озброєння вразливостей завжди було викликом — але не неможливим — що пояснює, чому ми досі не бачили масштабних сценаріїв експлуатації.
Інтернет зазнав масштабних перебоїв, але зараз відновлюється. Чи нам вдалося уникнути найгіршого сценарію?
Зараз рано робити висновки, але наразі немає ознак масового використання, що є принаймні сприятливим сигналом — однак ми ще не вийшли з зони ризику.
Генеральний директор компанії з кібербезпеки та моніторингу Cloudflare Метью Прінс цього тижня сказав, що компанія зафіксувала експоненційний ріст спроб використання вразливостей після їх розголошення. Це також свідчить про те, наскільки швидко зловмисники намагаються використати ці недоліки на свою користь.
PHP використовується не лише для веб-серверів, а й для розробки інструментів, командного рядка та термінальних пакетів, а також інших програмних компонентів, що використовуються маршрутизаторами, пристроями зберігання та підприємними пристроями безпеки (наприклад, брандмауерами та VPN).
Можна очікувати, що використання PHP2Shell з’явиться й надалі, оскільки менші ІТ-команди та незалежні розробники можуть оновлюватися повільніше. Між тим, багато компаній, які інтегрують PHP у свої продукти та програмне забезпечення, також повинні оновитися, що приведе до періоду переходу.
Зі збільшенням кількості пристроїв і систем, які оновлено, поверхня атаки поступово зменшуватиметься. Однак ланцюговий вплив цих вразливостей може тривати роками, особливо в застарілих системах, які не піддаються оновленню.
Чи відбудеться це знову?
За роки моєї роботи безпековим журналістом це був рідкісний день, коли інтернет майже зупинився. У 2016 році величезний ботнет атакував інтернет-реєстратор Dyn масовим трафіком, що призвело до майже повної зупинки сервісів багатьох топ-сайтів. У 2017 році Північна Корея за допомогою втеклих інструментів хакерів з уряду США заразила британську медичну систему та випустила шкідливий програмний код-шантажист. У 2024 році збій оновлення CrowdStrike спричинив глобальний масштабний відмову, внаслідок чого одночасно зруйнувалися більшість Windows-комп’ютерів у світі.
З усіх боків, завдяки PHP2Shell інтернет уникнув днів, які могли б бути надзвичайно болісними та руйнівними. Але це, ймовірно, не останній великий вплив на мережу у майбутньому, і це може стати початком серії подій, що використовують слабкості застарілих технологій. Дуже велика частина цього пов’язана з існуючими вадами самих цих старих, але універсально поширених програм, які ще не були виявлені, плюс інструменти штучного інтелекту, які роблять виявлення вразливостей простішим.
PHP, як і інші веб-мови та технології програмування, що з’явилися десятиліття тому, належать до класу «небезпечних щодо пам’яті» програм, що означає, що вони можуть стати мішенню цілого класу вразливостей, що призводять до витоку або переповнення конфіденційних даних з пам’яті. Агентство національної безпеки США повідомляє, що приблизно 75% вразливостей, які активно експлуатуються, використовують недоліки, пов’язані з пам’яттю, тобто хакери часто використовують саме ці вразливості.
Це сприяло переходу галузі на мови з безпекою пам’яті, такі як Python, Rust і Swift, які не так легко можна зловживати, як вразливості пам’яті. Тому ці мови в значній мірі імунні до великої кількості вразливостей, які все ще впливають на їх попередників.
Але це все ще залишає значну частину інтернету, яка працює на PHP, мультимедійних та відеокодеках, бібліотеках стиснення та іншому програмному забезпечення, розробленому десятиліття тому — і коли ці технології виходять з ладу, це викликає величезний вплив на весь мережевий простір.