После раскрытия уязвимостей PHP число атак выросло до миллионов

Уязвимость PHP за два часа превратилась в волну атак: пострадали сайты компаний и госорганов

Cloudflare зафиксировала миллионы попыток эксплуатации двух критических уязвимостей в PHP. Сразу после публичного раскрытия проблемы поток атак вырос с тысяч до сотен тысяч всего за два часа. По данным W3Techs на 22 октября 2026 года, PHP используется на 69,3% сайтов, серверный язык которых известен.

Речь идёт об уязвимостях CVE-2026-109618 и CVE-2026-109619. Они затрагивают сам PHP — то есть обновления сайта, CMS или отдельного плагина недостаточно. В зависимости от сценария атаки злоумышленник может вызвать сбой сервера, получить доступ к данным или выполнить собственный код.

Что произошло

• О первых попытках атак Cloudflare сообщила ещё до официального раскрытия уязвимостей. После публикации информации их количество резко выросло.
• Генеральный директор Cloudflare Мэтью Принс написал в X, что к утру 22 октября число попыток эксплуатации уже исчислялось «миллионами».
• Разработчики PHP выпустили исправления для четырёх последних веток 21 октября в 17:00 по московскому времени: PHP 8.5.12, 8.4.27, 8.3.36 и 8.2.35.
• Уязвимости обнаружили и проверили в конце лета 2026 года с помощью модели GPT-5.6 Sol от OpenAI. Подготовка исправлений заняла около двух месяцев.

Cloudflare добавила защитные правила в WAF и включила их для клиентов автоматически, в том числе для пользователей бесплатного тарифа. Но сама компания подчёркивает: WAF — лишь дополнительный уровень защиты, а не замена обновлению PHP. (blog.cloudflare.com)

Почему проблема оказалась настолько масштабной

PHP используется почти на семи из десяти сайтов. На нём работают популярные CMS и интернет-магазины, поэтому одна уязвимость в самом языке может затронуть большое количество независимых сервисов.

Технически атака связана с ошибками обработки памяти. Специально сформированный HTTP-запрос может привести к тому, что PHP продолжит работать с некорректными или уже освобождёнными данными. В результате процесс может завершиться с ошибкой, раскрыть содержимое памяти или выполнить код атакующего.

Где ограничивали работу сайтов

О крупных публичных утечках данных пока неизвестно. При этом компании и государственные организации в разных странах временно закрывали сайты или отключали часть функций:

• В России о временном ограничении функций сообщили «Битрикс24» и Beget. По словам технического директора «Гарда WAF» Луки Сафонова, многие российские хостинг-провайдеры временно приостановили работу части сайтов и уведомляли клиентов об угрозе.
• Британская BBC временно закрыла свой сайт.
• В Японии о приостановке работы сообщили Sega, Bandai Namco, Mitsubishi UFJ Financial Group, ANA, East Japan Railway, Nomura и Tokio Marine Holdings.
• Доступ к сайтам ограничили Министерство финансов и Национальное налоговое агентство Японии.
• Южная Корея ввела для частного сектора режим мониторинга и оповещения о киберугрозах.
• В Нидерландах временно отключили сайты больниц и некоторых политических партий.
• Ранее о временных ограничениях сообщали правительства Финляндии и Нидерландов, а также университеты Германии и Австрии.

Что делать владельцам сайтов

Главное условие — установить обновление PHP и перезапустить сервисы, которые его используют. Если PHP обслуживает хостинг-провайдер, обновление должен выполнить он.

До установки патча можно оставить включённой защиту WAF и ограничить потенциально опасные запросы, например загрузку больших файлов. Но эти меры снижают риск лишь частично и не устраняют уязвимость. Полное исправление — обновление PHP до версии с патчем.

OpenAI со своей стороны выпустила для Codex отдельный «навык», который проверяет сайты на наличие уязвимостей PHP. Однако даже успешная проверка не отменяет необходимости обновить серверное окружение.