21 жовтня 2026 року державні установи та компанії в різних країнах почали тимчасово відключати свої сайти через критичні вразливості PHP. Йдеться про мову програмування, на якій працює величезна кількість сайтів, зокрема новинні видання та інтернет-магазини. Виявлені помилки небезпечні тим, що за певних умов хакери можуть отримати контроль над сервером і дістатися до інформації, яка на ньому зберігається.

Найцікавіше, що ці вразливості, відомі як PHP2Shell, існували роками. Довести, наскільки вони небезпечні, дослідникам допоміг штучний інтелект. Розробникам PHP довелося терміново випускати оновлення, а фахівці з кібербезпеки вже попередили про можливі атаки на сайти, власники яких не встигнуть встановити захист.

Explainer розбирається, як помилки у програмному коді можуть поставити під загрозу мільйони сайтів, чим допоміг штучний інтелект у їхньому виявленні та чи варто звичайним користувачам хвилюватися за свої персональні дані.

Що сталося з PHP і чому сайти почали відключати

21 жовтня розробники PHP терміново випустили оновлення, щоб усунути дві критичні вразливості: CVE-2026-109618 і CVE-2026-109619. Обидві отримали оцінку 9,2 бала з 10 за міжнародною шкалою небезпеки. За певних умов вони дозволяють хакерам проникнути на вебсервер без пароля адміністратора, викрасти інформацію або змінити вміст сайту.

Дослідники компаній Calif і Wiz та фахівці OpenAI з’ясували, що ці помилки існували роками. За даними PHP Foundation, про одну з них повідомляли ще у 2024 році, але тоді не вдалося встановити, наскільки вона небезпечна. У серпні 2026-го дослідники продемонстрували, як використати вразливості для атак на сервери.

Виправлення планували випустити 22 жовтня, проте напередодні в інтернеті з’явилися ідентифікатори вразливостей і відео з демонстрацією атаки. Через це оновлення опублікували на день раніше.

ЧИТАЙТЕ ТАКОЖ: «Зникли 99,6% російських ботів»: що насправді сталося після ударів по «Яндексу»

Тим часом власники сайтів почали вживати запобіжних заходів. Як повідомляло Reuters, у Нідерландах і Фінляндії тимчасово відключили низку державних порталів. Так само вчинили у Франції та Бельгії, а Wikimedia Foundation обмежила доступ до частини своїх сервісів. Це давало змогу перевірити сервери та встановити оновлення.

Компанія Cloudflare зафіксувала підозрілі запити ще до офіційного оприлюднення інформації про PHP2Shell. Згодом їхня кількість зросла, а зловмисники почали змінювати способи атак, намагаючись обійти захист.

Виправлення отримали всі чотири версії PHP, які ще офіційно підтримуються. Однак частина сайтів досі використовує застаріле програмне забезпечення. Їхнім власникам може знадобитися масштабніше оновлення серверів, щоб усунути загрозу.

Що таке PHP і чому від нього залежить значна частина інтернету

Коли ви читаєте новини, шукаєте товар в інтернет-магазині або заходите до особистого кабінету, сайт обробляє ваш запит і знаходить потрібну інформацію. На багатьох сайтах за ці процеси відповідає мова програмування PHP.

PHP працює на сервері, тобто комп’ютері, де зберігаються дані сайту. Наприклад, коли ви відкриваєте сторінку товару, програма може знайти в базі даних його ціну, опис і відомості про наявність, а потім передати цю інформацію браузеру.

PHP створив програміст Расмус Лердорф у 1995 році. Згодом мова стала основою популярних систем WordPress, Drupal і Joomla, які дозволяють створювати сайти та керувати їхнім вмістом без необхідності щоразу звертатися до програмістів.

За даними W3Techs, станом на 21 жовтня 2026 року PHP використовували 69,3% сайтів, серверну мову програмування яких вдалося визначити. Серед них новинні видання, інтернет-магазини, корпоративні сайти та великі інформаційні платформи.

Популярність PHP пояснюється її доступністю. Мова безплатна, її підтримують багато хостингових компаній, а для роботи з нею є чимало готових інструментів. За три десятиліття на PHP створили безліч програм, тому перехід на іншу технологію для багатьох сайтів був би складним і дорогим.

Водночас власники сайтів не завжди вчасно оновлюють PHP, особливо якщо ресурс працює багато років. Навіть регулярне оновлення WordPress не замінює оновлення самої мови програмування, за яке зазвичай відповідає адміністратор сервера або хостингова компанія. Через це сайт може працювати без видимих проблем, хоча його програмне забезпечення вже має відомі вразливості.

Як працюють вразливості PHP2Shell і що може зробити хакер

Обидві вразливості PHP2Shell пов’язані з помилками в керуванні оперативною пам’яттю сервера. PHP тимчасово зберігає в ній дані, необхідні для роботи сайту, а після обробки запиту звільняє зайняту пам’ять. Якщо програма несподівано завершує роботу, цей процес може порушитися, створюючи можливості для хакерської атаки.

Перша вразливість, CVE-2026-109618, виникає, коли PHP вичерпує доступну пам’ять і намагається завершити роботу. Через помилку програма може звернутися до даних, які не були належним чином підготовлені.

Друга, CVE-2026-109619, пов’язана з повторним використанням уже звільненої пам’яті. Після аварійного завершення запиту PHP іноді зберігає посилання на ділянку, де потрібних даних уже немає. За певних умов зловмисники можуть використати такі помилки, щоб змусити сервер виконувати сторонні команди.

Небезпеку продемонстрували дослідники компанії Wiz, які провели успішні атаки на сайти з WordPress, Drupal і Joomla. Фахівцям вдалося запускати власні команди на сервері без авторизації, а також отримувати інформацію з оперативної пам’яті, зокрема паролі, ключі доступу та дані активних сеансів користувачів.

Успішна атака може призвести до викрадення персональних даних, зміни вмісту сайту або встановлення шкідливих програм. Для інтернет-магазину це означає ризик витоку інформації про покупців, їхні адреси та замовлення. Викрадені паролі й ключі доступу можуть також відкрити хакерам шлях до інших систем компанії.

Дослідники підтвердили, що за певних налаштувань для атаки достатньо звичайного вебзапиту без входу до адміністративної панелі. Найбільшу небезпеку команда PHP відзначила для серверів Apache з модулем mod_php.

Як пояснили у PHP Foundation, виправлення ускладнювало те, що помилки зачіпали основні механізми PHP. Розробникам потрібно було усунути вразливості, не порушивши роботу численних сайтів і програм після оновлення.

Як штучний інтелект допоміг знайти вразливості, які роками не помічали програмісти

Знайти вразливості PHP2Shell допоміг штучний інтелект, який може аналізувати програмний код і шукати способи використання помилок. Дослідники застосували його для перевірки складних ділянок PHP, де навіть незначний збій здатен поставити під загрозу безпеку всього сервера.

11 серпня 2026 року дослідник компанії Calif Райан Остін за допомогою моделі GPT-5.6 Sol знайшов спосіб використати одну з критичних помилок. Незалежно від нього ту саму проблему виявила команда OpenAI. Згодом фахівці компанії Wiz за допомогою моделей Gemini 4 Argon, GPT-5.6 Sol і власного інструмента Wiz Atlas знайшли обидві вразливості та перевірили, як їх можна використати для атак на популярні системи керування сайтами.

Завдання було непростим. Щоб атака спрацювала, потрібно було поєднати кілька помилок і врахувати особливості роботи оперативної пам’яті сервера. За оцінкою Wiz, завдяки ШІ дослідники змогли створювати робочі способи атак і пристосовувати їх до різних систем за лічені години.

Штучний інтелект допомагав знаходити потенційно небезпечні помилки, перевіряти різні варіанти атак і швидко відкидати ті, що не працювали. Результати перевіряли фахівці з кібербезпеки, а виправлення готували розробники PHP. Однак така швидкість пошуку вразливостей має і зворотний бік.

Тими самими інструментами, які допомагають фахівцям знаходити й усувати вразливості, можуть скористатися хакери. Складні атаки, на підготовку яких раніше витрачали багато часу і які вимагали серйозного досвіду, тепер стають доступнішими. В OpenAI попереджають, що розвиток таких моделей може прискорити створення програм для злому. А отже, у розробників залишається дедалі менше часу, щоб виправити помилку до того, як нею скористаються зловмисники.

Чому хакери почали атакувати сайти ще до оприлюднення вразливостей

Ще 17 жовтня, за чотири дні до офіційного оголошення, фахівці Amazon помітили спробу використати PHP2Shell у своїй мережі серверів-пасток MadPot. Звідки зловмисники дізналися про вразливість до її розголошення, у компанії поки не знають.

21 жовтня кількість спроб атак різко зросла. Як повідомляє Reuters із посиланням на генерального директора Cloudflare Метью Прінса, за десять годин до офіційної публікації компанія зафіксувала тисячі таких спроб. У перші 45 хвилин після оголошення рахунок пішов уже на десятки тисяч, за дві години – на сотні тисяч. Згодом кількість спроб перевищила мільйон.

Щойно технічні подробиці стали відомі, хакери отримали можливість швидко перевіряти сайти на наявність вразливостей. За даними Amazon, уже за кілька годин після виходу оновлень з’явилися нові робочі приклади атак. Їх майже одразу почали застосовувати проти серверів-пасток компанії.

Фахівці Amazon також помітили, що спроби атак надходили з різних адрес, а самі атаки відрізнялися способами використання помилок. Дослідники припускають, що за ними могли стояти кілька груп зловмисників. Для власників сайтів це означає, що після повідомлення про критичну вразливість на встановлення оновлень іноді залишаються лічені години.

Які онлайн-сервіси тимчасово відключили через PHP2Shell

Через PHP2Shell тимчасово відключали державні портали, лікарняні сайти, освітні платформи та інші онлайн-сервіси. Для відвідувачів це означало, що звичні сторінки переставали відкриватися, а деякі послуги ставали недоступними.

Показовою стала ситуація з Вікіпедією. За повідомленням Wikimedia Foundation, організація намагалася зберегти доступ до самої енциклопедії, але відключила хмарні сервіси Toolforge і Cloud VPS. Ними користуються тисячі розробників-добровольців, які створюють додаткові інструменти для Вікіпедії. Зокрема, програми, що допомагають редакторам знаходити помилки, перевіряти статті та боротися з вандалізмом.

Відновити роботу цих сервісів виявилося складніше, ніж просто встановити оновлення. Частину програм підтримують незалежні розробники, які самі обирають версії PHP. Працівники Wikimedia не могли одночасно оновити всі ці проєкти й перевірити, чи не становить якийсь із них загрози для спільної інфраструктури. Тому деякі інструменти залишалися недоступними навіть після виходу виправлень.

Зі схожими труднощами зіткнулися й хостингові компанії, які обслуговують багато сайтів одночасно. Їм потрібно було отримати виправлені версії PHP, встановити їх на сервери й перевірити, чи нормально працюють сайти клієнтів. Наприклад, нідерландська CodeIQ тимчасово відключила клієнтські сайти й почала відновлювати їхню роботу після встановлення та перевірки оновлень.

Наскільки масштабними були відключення, показують дані сервісу моніторингу UptimeRobot. 21 жовтня на піку він зафіксував приблизно в 11 разів більше сповіщень про недоступність сайтів, ніж попереднього дня. Найбільше таких сповіщень надходило з європейських точок моніторингу.

Як захистити сайт від PHP2Shell і що робити користувачам

Власникам сайтів, які працюють на PHP, насамперед варто перевірити, чи встановлено оновлення безпеки від 21 жовтня. Якщо сайт обслуговує хостингова компанія або сторонній розробник, потрібно звернутися до них і з’ясувати, чи усунули вразливості PHP2Shell та перевірили сервер на можливі сліди злому.

Розробники PHP випустили чотири захищені версії: 8.5.12, 8.4.27, 8.3.36 та 8.2.35. Їх можна отримати на офіційному сайті PHP. Якщо сайт працює на версії, підтримку якої вже припинили, доведеться перейти на підтримувану версію PHP або отримати спеціальне виправлення від постачальника системи.

Після оновлення адміністраторам радять перевірити журнали роботи сервера, тобто записи про відвідування, помилки та виконані команди. За ними можна помітити підозрілі дії, які відбувалися ще до встановлення захисту. Якщо є ознаки злому, потрібно також перевірити файли сайту та змінити дані доступу, які могли опинитися в руках зловмисників.

Британський Національний центр кібербезпеки радить тимчасово відключати вразливі системи, якщо швидко встановити виправлення неможливо. Особливо це стосується сайтів, які обробляють персональні дані або забезпечують доступ до важливих онлайн-послуг.

Звичайним користувачам самостійно оновлювати PHP чи встановлювати додаткові програми не потрібно. Це завдання власників сайтів. Однак найближчим часом варто уважніше ставитися до повідомлень від інтернет-магазинів, банків та інших онлайн-сервісів.

Шахраї можуть скористатися новинами про PHP2Shell, щоб розсилати фальшиві попередження про злам облікових записів і вимагати терміново змінити пароль за надісланим посиланням. Якщо сервіс повідомляє про проблеми з безпекою, краще самостійно зайти на його офіційний сайт або відкрити застосунок. А якщо витік даних підтвердився, варто змінити пароль і ввімкнути двофакторну автентифікацію, якщо вона ще не налаштована.