Разработчики PHP выпустили экстренные исправления для двух критических уязвимостей на день раньше запланированного срока — 21 октября 2026 года. Причиной переноса стала утечка технических деталей в открытый доступ. Обе проблемы, объединённые под названием PHP2Shell, получили идентификаторы CVE-2026-109618 и CVE-2026-109619. Каждая оценена в 9,2 балла из 10 и позволяет удалённо выполнять код на незащищённых серверах. По оценкам, PHP работает примерно на 70% сайтов с известным серверным языком, поэтому масштаб потенциальной атаки оказался предметом особой тревоги. Грег Брокман из OpenAI заявил, что уязвимость оставалась в PHP около 14 лет, а ограниченная версия, появившаяся в 2024 году, не считалась значительной.
Сразу после экстренного предупреждения Финляндия, Нидерланды и Франция временно отключили государственные сайты. АНБ, ФБР, а также киберведомства ЕС, Великобритании, Австралии, Канады, Сингапура, Германии и Японии выпустили срочные уведомления. Премьер-министр Японии Санаэ Такаити призвала владельцев сайтов проверить использование PHP и подготовиться к установке исправлений. Nintendo и Mitsubishi UFJ Financial Group приостановили часть интернет-сервисов, а министерство финансов Японии ограничило работу некоторых разделов сайтов. Экс-глава Binance Чанпэн Чжао предупредил пользователей быть осторожными с любыми сайтами в ближайшие дни, поскольку не все администраторы успевают устанавливать патчи.
Cloudflare сообщила о взрывном росте попыток эксплуатации. По словам гендиректора компании Мэттью Принса, за десять часов до публичного объявления фиксировались тысячи попыток, через 45 минут после — десятки тысяч, через два часа — сотни тысяч, а позднее счёт пошёл на миллионы. Компания включила защитные правила через межсетевой экран веб-приложений. Amazon, в свою очередь, заявила, что её система MadPot выявила попытки эксплуатации ещё до официального раскрытия, однако как злоумышленники узнали о проблеме, остаётся неясным. Специалисты watchTowr следят за использованием в реальных атаках инструментов, построенных с помощью ИИ, но на момент отчёта подтверждённых успешных взломов зафиксировано не было.
К обнаружению и устранению проблемы были привлечены несколько технологических компаний. Google сообщила, что Wiz и Gemini использовали ИИ для поиска, анализа и тестирования уязвимостей. OpenAI заявила, что её модели нашли ошибки первыми и что компания в течение двух месяцев координировала работу мейнтейнеров, исследователей и поставщиков безопасности, включая Wiz и Cloudflare, а также взаимодействовала с ONCD и CISA. По словам Брокмана, исследователи использовали GPT-5.6 Sol в рамках программы Patch the Planet. OpenAI также пообещала субсидированный доступ к Daybreak на сумму $1 млрд для организаций с ограниченными бюджетами, защищающих критически важные сервисы. Брокман допустил, что в крайних случаях государственные защитники могли бы дистанционно патчить уязвимые серверы.
Официальные обновления получают только PHP 8.2 и новее. Для версий 7.4, 8.0 и 8.1 команда опубликовала минимальные исходные бэкпорты, а более старые ветки остаются без официальной поддержки. Эксперты Sophos рекомендовали организациям сначала обнаружить все места, где используется PHP, и отключить от интернета системы, которые нельзя оперативно обновить.
