Уряди Нідерландів, Франції, Данії та Фінляндії 21 жовтня тимчасово вимкнули частину своїх сайтів після розкриття двох критичних вразливостей у PHP — мові програмування, на якій працює більшість вебу. Помилки, що роками ховалися в коді, виявили за допомогою штучного інтелекту, а зловмисники, за даними Reuters, почали їх експлуатувати ще до виходу виправлень.
Хто вимкнув сайти
Найрадикальніше відреагували Нідерланди. Національний центр кібербезпеки (NCSC) вимкнув навіть власний сайт, назвавши це запобіжним заходом. Його приклад повторили порт Роттердама, урядовий портал Overheid.nl, Королівська нідерландська футбольна асоціація KNVB, сайти пʼяти найбільших політичних партій країни та кількох лікарень. Премʼєр-міністр Нідерландів заявив, що уважно стежить за ситуацією.
У Данії муніципальна ІТ-компанія Kombit зупинила кілька сервісів, зокрема національну платформу шкільної комунікації. Ще масштабнішими перебої були у Фінляндії: державний постачальник ІТ-послуг Valtori вимкнув публічні мережеві сервіси уряду «з міркувань обережності». МВС Франції перевело всі свої сайти в режим превентивного обслуговування.
Аналогічні кроки зробили й інші країни. За даними Reuters, федеральний ІТ-провайдер Німеччини ITZBund вимкнув кілька сайтів, а МЗС Бельгії тимчасово закрило свої ресурси після повідомлень про атаки, хоча національний центр кібербезпеки не зафіксував жодної атаки на бельгійські сайти.
Наслідки відчули й поза державним сектором. Оператор Вікіпедії вимкнув невизначену кількість систем до встановлення оновлень, а Internet Archive ненадовго пішов в офлайн. Премʼєр-міністерка Японії Санае Такаїчі закликала в X власників сайтів перевірити, чи використовують їхні ресурси PHP, і підготуватися до встановлення виправлення. Білий дім повідомив, що дізнався про вразливість ще в пʼятницю, 16 жовтня.
Що таке PHP2Shell і чому це небезпечно
PHP зʼявилася в середині 1990-х, а її назва спочатку розшифровувалася як Personal Home Page. Коли відвідувач відкриває сторінку, сервер із PHP збирає її вміст і надсилає в браузер. Це вільне програмне забезпечення з відкритим кодом, яке підтримують волонтери. На PHP працюють WordPress, Drupal, Joomla, Magento і MediaWiki — рушій Вікіпедії. За оцінками сервісу W3Techs, на які посилається Reuters, цю мову використовують приблизно 75% сайтів, технологію яких вдається визначити; Wiz оцінює частку в 70%.
Обидві вразливості отримали оцінку 9,2 бала за шкалою CVSS v4.0. Їхня спільна причина — те, як PHP обробляє фатальні помилки, насамперед нестачу памʼяті. За поясненням Wiz, після аварійного завершення запиту в інтерпретаторі може залишитися пошкоджений внутрішній стан, який наступний запит у тому самому робочому процесі використовує повторно. Це відкриває шлях до виконання довільного коду або до витоку даних із памʼяті процесу — паролів, токенів автентифікації, API-ключів і сертифікатів.
Ключова відмінність від звичних вразливостей у плагінах чи CMS полягає в тому, що помилка міститься в самому PHP. Навіть найпростіший застосунок на кшталт «Hello World» на вразливій версії може бути під загрозою. Wiz продемонструвала віддалене виконання коду без автентифікації на актуальних на момент тестування контейнерних образах WordPress, Drupal і Joomla.
За даними команди PHP, ризик існує для всіх інсталяцій, що обслуговують вебзапити: PHP-FPM, Apache з mod_php, php-cgi, FrankenPHP і LiteSpeed. Найвищий він для mod_php. Wiz зазначає, що щонайменше одна з помилок присутня в кожній версії PHP за останнє десятиліття, аж до 5.4.
Вразливими будуть усі сервери, що використовують будь-яку версію PHP, випущену за останні 20 років. Ця проблема зачіпає більшу частину інтернету.
За даними компанії Censys, яка аналізує інтернет-інфраструктуру, близько 1,5 млн із 2,6 млн хостів із PHP повідомляють про версію, для якої виправлення не існує.
Як ШІ знайшов те, що люди пропускали понад десять років
Про виявлення вразливостей за допомогою ШІ незалежно одна від одної повідомили дві компанії. Calif заявила, що знайшла помилки з допомогою великої мовної моделі 1 серпня і відтоді працювала над виправленням. Wiz, яка належить Alphabet, натрапила на першу вразливість 19 серпня, використовуючи власний автономний інструмент для пошуку вразливостей Wiz Atlas, а також моделі Gemini 4 Argon від Google і GPT-5.6 Sol від OpenAI. Уже наступного дня дослідники підтвердили віддалене виконання коду на Drupal, ще через день — на WordPress. 24 серпня Wiz передала звіт команді безпеки PHP, яка 21 вересня підтвердила його отримання та почала готувати скоординоване виправлення.
Уразливий код існував понад десять років, але перетворити його на робочий експлойт було надзвичайно складно: доводилося поєднувати кілька помилок і підлаштовуватися під розподіл памʼяті кожної конкретної системи.
До появи ШІ таку ручну роботу було б складно виконати й ще складніше масштабувати. З ШІ це вже не перешкода.
За словами Wiz, з передовими моделями ШІ один дослідник за тиждень зробив те, на що раніше команда світового рівня витратила б місяці. Компанія порівнює PHP2Shell із Heartbleed (2014) і Log4Shell (2021) і вважає, що ця історія може стати переломним моментом епохи ШІ. Calif і Wiz повідомили, що координували роботу між собою, з командою PHP та OpenAI.
Атаки почалися ще до розкриття
Ембарго на інформацію про вразливості втрималося недовго. За даними SentinelOne, ідентифікатори CVE зʼявилися в соцмережах 20 жовтня, і розробники PHP опублікували виправлення наступного дня — трохи раніше запланованих 14:00 UTC.
Утім спроби атак почалися ще раніше. Директор Amazon з інформаційної безпеки Сі Джей Мозес повідомив, що 17 жовтня — за чотири дні до публічного розкриття — команда компанії зафіксувала спробу експлуатації на одній зі своїх систем-приманок (honeypot). Атака надійшла з анонімної IP-адреси, що свідчить про дії зловмисника. Як він дізнався про вразливості, поки діяло ембарго, невідомо. 21 жовтня, ще до зняття ембарго, надійшли нові спроби від кількох джерел. Amazon поки не може сказати, чи спрацювали б вони проти реальних сайтів, але констатує, що вразливості вже масово експлуатують.
Про ранні атаки на своїх клієнтів повідомляв і технічний директор Cloudflare. Експерти очікують хвилю зламів: виправлення тепер публічне, а інструменти ШІ дозволяють без особливих зусиль відновити за ним механізм помилки. Співзасновник компанії TLP:Black, що спеціалізується на кіберрозвідці та реагуванні на інциденти, Костін Раю вважає, що ШІ запустив «перегони з експлуатації».
Наступний крок — масова компрометація кожного вразливого вебсервера в інтернеті.
Масштаб величезний, а з ШІ експлуатація може відбуватися миттєво.
Хто під найбільшим ризиком
Компанія Automattic, оператор WordPress.com, повідомила, що користувачі її хостингових рішень і Tumblr у безпеці. Найбільше ризикують невеликі сайти приватних осіб та організацій з обмеженими технічними ресурсами — часто на спільному хостингу, де клієнти не керують серверами самостійно.
Окрема проблема — застарілі версії. Офіційні виправлення вийшли лише для гілок 8.2–8.5, а PHP 8.1 і старіші проєкт більше не підтримує. Деякі дистрибутиви та LTS-постачальники пропонують перенесені виправлення, але для решти єдиний надійний шлях — перехід на підтримувану версію. Підтримка гілки 8.2 завершується 31 грудня 2026 року.
Що робити власникам сайтів
- Перевірити, яка версія PHP працює на сервері: командою php -v або в панелі керування хостингом.
- Оновити PHP до 5.12, 8.4.27, 8.3.36 чи 8.2.35 або встановити пакет дистрибутива з виправленням, а потім перезапустити PHP-FPM чи Apache.
- Власникам сайтів на спільному хостингу — звернутися до провайдера з вимогою негайно встановити оновлення.
- Якщо оновитися неможливо, ізолювати вразливі застосунки від інтернету або тимчасово вимкнути їх, як радить CERT-EU.
- Не покладатися на тимчасові налаштування. Вимкнення upload_progress.enabled чи зміна memory_limit лише частково звужують можливості для атаки: за словами розробників PHP, повністю захищає тільки оновлення. Правила WAF від Cloudflare увімкнено за замовчуванням на всіх тарифах із WAF, включно з безкоштовним, але й вони не замінюють патч.
- Якщо вразлива система була доступна з інтернету, змінити паролі, токени та ключі, які могли зберігатися в памʼяті процесів PHP. За ознак експлуатації систему варто вважати скомпрометованою.
Історія PHP2Shell демонструє обидва боки технології: ті самі моделі ШІ, що допомогли знайти й виправити помилки, яким понад десять років, тепер скорочують час між публікацією патча і масовими атаками до кількох годин.
