Две уязвимости получили общее название PHP2Shell. Они позволяют злоумышленнику удалённо запускать код на уязвимом сервере без входа в систему. PHP — язык программирования, на котором работают многие сайты, в том числе использующие WordPress и другие системы управления содержимым.

Ошибки находятся в самом PHP, а не в настройках конкретного сайта или его дополнениях. Поэтому обновить только WordPress недостаточно: исправление требуется программному обеспечению сервера, которое обрабатывает запросы посетителей.

Попытки атак начались до раскрытия уязвимостей

Глава облачной компании Cloudflare Мэтью Принс сообщил о тысячах попыток атак за десять часов до публичного раскрытия проблемы. За следующие 45 минут их число выросло до десятков тысяч, за два часа — до сотен тысяч. К моменту его заявления счёт шёл уже на миллионы.

Команда Amazon по анализу киберугроз зарегистрировала попытку эксплуатации ещё 17 октября. Согласно техническому разбору на платформе Dev.to, её зафиксировали системы MadPot — серверы-ловушки, предназначенные для наблюдения за действиями злоумышленников.

Реклама

Уязвимости обозначены как CVE-2026-109618 и CVE-2026-109619. В том же разборе для обеих указана оценка опасности 9,2 балла по шкале CVSS версии 4.0. Исследователи компаний Calif и Wiz обнаружили ошибки с помощью инструментов искусственного интеллекта; до этого они годами оставались в программном обеспечении.

От японских банков до европейских государственных сайтов

В Японии часть онлайн-сервисов временно приостановили брокерская компания Nomura, финансовая группа Mitsubishi UFJ Financial Group, авиакомпания ANA и железнодорожный оператор East Japan Railway. Ограничения также затронули министерство финансов, метеорологическое агентство и налоговую службу страны.

В Европе меры предосторожности приняли государственные организации Финляндии, Нидерландов и Великобритании. Французская телекоммуникационная группа Orange ограничила доступ к некоторым сайтам и приложениям своих дочерних компаний. Берлинская университетская клиника «Шарите» временно отключила сайт; среди организаций, принявших меры предосторожности, также оказался фонд Wikimedia, отвечающий за Википедию.

Финский государственный поставщик ИТ-услуг Valtori сообщил, что устанавливал исправления ночью и постепенно восстанавливал доступ к сервисам. По заявлению организации, отключения были профилактическими, а не следствием взлома. Valtori также заявила, что ей не известно об активной эксплуатации этих уязвимостей.

Министерство промышленности Китая призвало организации проверить системы и обновить PHP. Южная Корея повысила уровень киберугрозы для частного сектора и запустила экстренные меры реагирования.

Обновления нужны серверам, а не только сайтам

По оценке компании OX Security, основанной на данных поисковой системы Shodan, в открытом интернете доступны около двух миллионов серверов PHP. Сколько систем действительно уязвимы и сколько удалось взломать, пока неизвестно.

В техническом разборе Dev.to со ссылкой на разработчиков PHP обновление названо единственным полноценным решением. Там же приводится рекомендация американского агентства кибербезопасности CISA: если установить исправление невозможно, систему следует временно отключить от интернета. Временные ограничения отдельных функций не заменяют обновление.

Согласно тому же разбору, на 22 октября публично подтверждённых взломов конкретных организаций из-за PHP2Shell не было. Помимо установки исправлений администраторам рекомендуют проверить журналы доступа и подозрительные файлы: попытки атак начались ещё до появления защиты.