90% русскоязычных сайтов под угрозой: GPT-5.6 обнаружил критические «дыры» в PHP

С помощью искусственного интеллекта специалисты по кибербезопасности нашли две критические уязвимости в PHP — языке программирования, который используют почти 70% сайтов в мире. Проблемы оставались незамеченными больше десяти лет, и теперь миллионы ресурсов оказались под угрозой атак. Разработчики выпустили обновления, а власти некоторых стран временно отключили свои порталы.

Почему PHP так важен для интернета

PHP (изначально Personal Home Page, позже — Hypertext Preprocessor) появился в начале 1990-х и стал одним из самых распространённых инструментов для создания веб-сайтов. Этот язык программирования лежит в основе популярных систем управления контентом: WordPress, Drupal, Joomla, Magento и «1С-Битрикс». По данным аналитического портала W3Techs, в Рунете PHP использует более 90% ресурсов, в мире — около 69%. На нём работают Wikipedia, Tumblr, Slack, MailChimp, Facebook*, сайты Белого дома и NASA. Агентство Reuters подчёркивает: любая серьёзная брешь в безопасности PHP способна повлиять на огромное количество площадок.

Как ИИ помог найти проблему

Обе уязвимости обнаружили с помощью искусственного интеллекта. Компания Calif, которая занимается защитой цифровой инфраструктуры, ещё в июле выявила одну из них через модель GPT-5.6 Sol в рамках программы Patch the Planet. Независимо от этого обе проблемы нашла и компания Wiz из сферы кибербезопасности, принадлежащая Google.

Представители OpenAI сообщили, что работа над устранением уязвимостей велась два месяца. Как отмечает Би-би-си, эти слабые места не замечали более десяти лет. В OpenAI назвали их одними из наиболее значимых проблем безопасности за последнее время и добавили, что случай с PHP показывает двойственную природу ИИ: он может как находить бреши в защите интернета, так и использоваться во вред.

Киберподразделение ФБР предупредило, что найденные уязвимости позволяют удалённо запускать код на сервере, что повышает риск утечки конфиденциальной информации. По словам Луки Сафонова, бизнес-партнёра по инновационному развитию компании «Гарда» и технического директора «Гарда WAF», под угрозой оказываются пароли, токены сессий, ключи доступа и сертификаты из соседних запросов.

Первые атаки и массовые отключения

21 октября разработчики PHP выпустили исправленные версии 8.5.12, 8.4.27, 8.3.36 и 8.2.35, устраняющие уязвимости, которые получили название PHP2Shell. Пользователей призвали обновиться немедленно. В тот же день технический директор компании Cloudflare Дейн Кнехт зафиксировал первые признаки атак хакеров и предположил, что искусственный интеллект продолжит находить подобные ошибки в массово используемом ПО. Генеральный директор Cloudflare Мэттью Принс в ночь на 22 октября сообщил, что уязвимости PHP попытались эксплуатировать «миллионы» раз после публичного заявления о проблемах.

Лука Сафонов подчёркивает: уязвим именно язык PHP, а не отдельные программы, поэтому обновление WordPress или другой CMS не поможет — нужно менять сам PHP. Под угрозой даже простейший код на уязвимой версии. По его оценкам, в Рунете под удар могут попасть десятки, а то и сотни тысяч ресурсов.

Сергей Ложкин, руководитель глобального центра исследований и анализа угроз «Лаборатории Касперского» в регионах META и APAC, считает, что найденные уязвимости могут стать одними из самых серьёзных в 2026 году. До установки патча любой сервер на уязвимой версии PHP, подключённый к интернету, может стать мишенью для атак без аутентификации. Эксперт рекомендует владельцам сайтов, помимо оперативного обновления, сделать резервные копии и перенести важную информацию в безопасное место.

Реакция властей и организаций по всему миру

Власти разных стран, международные организации и специалисты по кибербезопасности призвали владельцев сайтов на PHP обновить ПО до исправленной версии, а если быстро это сделать невозможно — временно отключить ресурсы. С такой рекомендацией выступило Агентство национальной безопасности США. На проблему обратила внимание премьер-министр Японии Санаэ Такаита. Власти Финляндии и Чехии временно закрыли правительственные веб-сервисы, аналогично поступили Министерство иностранных дел Бельгии и Министерство финансов Японии.

В качестве превентивной меры отключили свои сайты префектуры Франции, порт Роттердама, Королевская футбольная ассоциация Нидерландов (KNVB), пять крупнейших политических партий и некоторые больницы Нидерландов. Ряд систем временно закрыла организация Wikimedia, управляющая Wikipedia, сообщает Reuters.

Что могут сделать пользователи

Эксперты, опрошенные РБК, отмечают, что устранить уязвимости PHP способны только владельцы сайтов и хостинг-провайдеры. Дмитрий Кленин, руководитель отдела информационной безопасности ИРТЕЯ, объясняет: через найденные бреши можно взломать инфраструктуру, на которой расположен сайт, получить данные пользователей или показать фишинговые страницы.

Кленин рекомендует пользователям обновить браузер и операционную систему штатными средствами, включить двухфакторную защиту и использовать разные пароли для разных сервисов. Также не стоит устанавливать программы из всплывающих окон с предложением «срочно устранить уязвимость» и игнорировать предупреждения браузера. Эксперт подчёркивает: даже привычный адрес и HTTPS не гарантируют, что сайт не взломан.

Если сервис сообщил об утечке, следует проверить сообщение через официальный канал и следовать инструкциям по защите учётной записи. При утечке пароля его нужно сменить, в том числе на других сайтах, где использовался такой же. Эти меры ограничивают возможный ущерб, но не заменяют устранение уязвимости на сервере, добавляет Кленин.

Эксперт по технологиям Николай Турубар считает, что смена пароля и включение двухфакторной аутентификации не помогут пользователям, если уязвимость не исправят на стороне сайта. Пока владелец не установил патч, любые меры пользователя — это защита от последствий, а не от самой атаки. Турубар советует отдавать предпочтение сайтам, которые оперативно реагируют на выявленные угрозы. Если сервис не сообщил об обновлении или временном отключении, это тревожный признак зрелости его процессов информационной безопасности.

Ведущий аналитик Mobile Research Эльдар Муртазин также полагает, что обычный пользователь сам по себе бессилен против новых уязвимостей в коде PHP. По его мнению, число подобных угроз будет расти с каждым днём, а при грамотной организации атаки даже на качественный ресурс злоумышленники могут похитить данные, в том числе криптовалюту, и жертвы об этом не узнают. Муртазин допускает, что мы переходим к новой стадии угроз, когда ценную информацию нужно будет хранить на устройствах, которые де-факто не подключены к Сети.

*Meta Platforms Inc. (компании принадлежат Instagram, Facebook, WhatsApp) признана экстремистской организацией, ее деятельность запрещена на территории Российской Федерации.