Очаквайте доста уебсайтове да показват страници за грешка днес: близо 70 процента от сайтовете трябва да обновят базовия си софтуер, за да отстранят две уязвимости, които позволяват на атакуващ да поеме пълен контрол над засегнатите сървъри. Експертите съобщават, че съществуват работещи експлойти за слабостите и че тези критични грешки вече се експлоатират активно в реални условия.

Въпросните слабости присъстват в PHP – езика за програмиране, който задвижва сайтове, работещи върху голям брой системи за управление на уеб съдържание, включително Drupal, Magento, Joomla и WordPress. По-рано днес PHP пусна извънредно обновяване за сигурност, за да отстрани две критични уязвимости, които могат да позволят на атакуващ да изпълни избран от него код на уязвим сървър.

Reuters съобщава, че правителствени уебсайтове в Европа и на други места са спрели работа днес, след като уязвимостите в PHP са били оповестени. От Cloudflare заявиха, че вече са засекли известна експлоатация на дефекта и че в 3:02 ч. (UTC) са въвели правила за защитна стена за уеб приложения (WAF), за да защитят сайтовете от атаки, целящи да се възползват от уязвимостите. Тези атаки биха могли да предизвикат отказ на услуга (DoS), отдалечено изпълнение на код и изтичане на данни.

От OpenAI, които са участвали в изследването на уязвимостите и координирането на мерките, коментираха: „Предвид сериозността на тези дефекти и широкото разпространение на PHP, считаме това за един от най-въздействащите проблеми със сигурността в най-новата история.“

Експертите по сигурност от Wiz заявиха, че всяка версия на PHP, пусната през последното десетилетие, е засегната от поне една от тези уязвимости [пълно разкриване: Wiz е рекламодател в този блог].

„Тези открития се нареждат сред най-тежките уязвимости, откривани някога в PHP, и вероятно в историята на софтуера изобщо“, се казва в публикация в блога, публикувана днес от екип изследователи в Wiz, която е една от няколкото организации, признати за откриването на проблемите. „Основните дефекти са присъствали от десетилетия, но доказването на тяхната приложимост за атака изискваше изключително сложна верига от стъпки, на границата на постижимото от изследователи хора. Водещите модели с изкуствен интелект значително намалиха тази бариера, превръщайки отдавна съществуващ дефект в работещ експлойт.“

Изследователите от Wiz посочват, че е много вероятно уязвимостите в PHP да бъдат масово експлоатирани за инсталиране на уеб-базирани задни врати (backdoors) или „уеб шелове“ (web shells), които предоставят на атакуващите уеб панел за отдалечен контрол над компрометираните сайтове. От Wiz заявиха, че преди уязвимостите в PHP да бъдат публично оповестени, компанията е работила съвместно с екипа на PHP, Calif и OpenAI за оценка на мащаба на проблема и координиране на верификацията и разкриването на корекциите за сигурност.

Тези zero-day уязвимости в PHP се проследяват чрез техните CVE номера: CVE-2026-109618 и CVE-2026-109619, като засягат всички уеб сървъри, работещи с PHP 5.4 или по-нова версия. Уязвимостите са коригирани в PHP 8.5.12, 8.4.27, 8.3.36 и 8.2.35.

Според Wiz PHP е толкова дълбоко интегриран в множество уеб приложения, че организациите вероятно ще срещат затруднения да инсталират корекции за сигурност за тези уязвимости още дълго време. Те сравниха двойката уязвимости в PHP със слабостта Log4Shell от 2021 г. – изключително мащабен и критичен дефект в сигурността на популярната Java библиотека за регистриране Log4j.

„Уязвимост в ядрото на PHP се простира далеч отвъд рамките на едно-единствено приложение“, пишат изследователите от Wiz. „PHP се изпълнява в облачни среди, хостинг доставчици, мрежи за доставка на съдържание (CDN) и милиони независимо управлявани сървъри. Ограничаването на риска преди техническите детайли да станат публични изискваше координирани действия в цялата екосистема.“

Центърът SANS Internet Storm Center следи основните софтуерни платформи, които разпространяват обновления за справяне с тези дефекти в PHP. Например Ubuntu току-що публикува обновени пакети за PHP.

Това е динамично развиваща се новина. Актуализациите ще бъдат отразявани тук с времеви маркери.