Две критические уязвимости в PHP — языке, на котором работает значительная часть веба, — сегодня привели к отключению сайтов и предупреждениям для владельцев серверов. В числе затронутых или временно недоступных оказались 4chan, DeviantArt, Wikipedia, Pokémon Home и Pokémon Champions; некоторые государственные ведомства Нидерландов и Финляндии также убрали свои сайты из сети как меру предосторожности. Обычному пользователю не нужно срочно менять настройки компьютера, но владельцам сайтов стоит выяснить, используется ли PHP и установлено ли исправление.
Что произошло
Проблема связана с двумя ошибками в PHP. PHP — серверный язык программирования: он работает на стороне сайта и формирует страницы до того, как браузер получит их. По данным W3Techs, на PHP приходится 69,3% сайтов, для которых известен серверный язык. Поэтому уязвимость в нём может затронуть очень разные проекты — от личного блога до крупного сервиса.
PHP Group описывает риск как удалённое выполнение кода без входа администратора. Проще говоря, атакующий может попытаться запустить на сервере свои команды, изменить содержимое сайта или получить доступ к сохранённым данным. Речь идёт о CVE-2026-109618, связанной с ошибкой обработки нехватки памяти, и CVE-2026-109619, при которой после освобождения памяти может сохраняться устаревшее внутреннее состояние запроса.
Почему сайты отключали
Некоторые организации не стали ждать исправления. Уязвимые сайты временно выключали, а аккаунты NSA Cybersecurity и британского Национального центра кибербезопасности рекомендовали перевести системы в автономный режим, если немедленное обновление невозможно. Cloudflare сообщила о первых атаках, но это не означает, что каждый сайт на PHP уже взломан.
По оценке Wiz, раньше эксплуатация этих ошибок требовала исключительно сложной последовательности действий. Теперь, по словам участников исследования, мощные модели ИИ упростили поиск и превращение подобных ошибок в рабочую атаку. Это не доказывает, что ИИ стал причиной каждого инцидента, но снижает порог для злоумышленника после раскрытия деталей.
Кого касается риск
В первую очередь — владельцев и администраторов сайтов на PHP, включая сайты на WordPress, а также клиентов хостингов Hostinger, GoDaddy, Bluehost и других провайдеров. GoDaddy рекомендует считать затронутым любой сайт, использующий PHP, и установить исправленный выпуск. Для PHP 8.1 и более старых версий официального исправления не будет: они больше не поддерживаются, поэтому потребуется переход на более новую версию.
Если сайт размещён на управляемом хостинге, сроки обновления нужно уточнить у провайдера. Если на сервере продаются товары и услуги или хранятся чувствительные данные, источник рекомендует отключить сайт до установки исправления. Для дополнительного контекста о рисках ИИ в кибербезопасности пригодится разбор инцидентов и способов удержать модели под контролем.
Что делать сейчас
Пользователю без собственного сервера достаточно следить за сообщениями сайтов и сервисов, которыми он пользуется: временная недоступность может быть защитной мерой. Squarespace и Wix, по данным материала, не поддерживают PHP, поэтому описанный риск к ним не относится.
Владельцу сайта стоит проверить версию PHP, узнать у хостинга статус исправления и не считать обновление формальностью: уязвимость может дать доступ к паролям, ключам API, сертификатам и базам данных. Пока нет подтверждения о конкретном взломе вашего сервера, не следует объявлять его скомпрометированным; но откладывать проверку при наличии PHP рискованно.
