Нидерланды отключили портал цифровой идентификации DigiD, Финляндия — часть государственных веб-сервисов, в Японии крупнейший банк MUFG ограничил некоторые онлайн-услуги. Причина одна: две критические уязвимости в PHP — языке программирования, на котором работает, по оценке компании Wiz Research, примерно семь сайтов из десяти. Обновление вышло в среду, 21 октября, но злоумышленники начали атаки еще до официального объявления.
Хронологию и подробности собрали Euronews и dev.ua со ссылкой на Reuters, Фонд PHP и аварийную команду ЕС по кибербезопасности CERT-EU. Ниже — ответы на вопросы, которые чаще всего задают сейчас обычные пользователи.
Коротко
- Ошибки получили номера CVE-2026-109618 и CVE-2026-109619 и оценку 9,2 из 10 по шкале опасности.
- Уязвима как минимум к одной из них каждая версия PHP за последние десять лет.
- Отключение сайта не означает взлом: часто это мера предосторожности на время установки патча.
Что именно сломалось в PHP?
Ошибки сидят в механизмах управления памятью и обработки ошибок — в тех частях, через которые проходит почти каждый запрос к сайту. Если запрос в неудачный момент упирается в лимит памяти, сервер можно заставить выполнить чужой код. Причем без логина и пароля.
Кто нашел уязвимость и при чем тут искусственный интеллект?
Первые признаки проблемы разработчики PHP заметили еще в 2024 году во время внешнего аудита, но рабочего сценария атаки тогда не было, и исправление месяцами откладывалось. Сам Фонд PHP назвал эту задержку «структурным провалом». В августе 2026 года компания Calif, проводившая аудит кода PHP на деньги OpenAI, с помощью модели OpenAI показала полностью рабочую удаленную атаку. Позже Wiz нашла новые варианты, используя модели OpenAI и Google. В OpenAI назвали находку одной из самых значимых уязвимостей последних лет.
Почему сайты начали массово отключать?
Номера уязвимостей утекли в соцсети во вторник, а Calif по ошибке опубликовала и затем удалила видео с демонстрацией атаки — копии быстро разошлись. Владельцы сайтов предпочли временно снять их с сети, чем рисковать взломом. CERT-EU прямо посоветовала организациям, которые не могут обновиться немедленно, отключать сайты полностью.
Какие сайты уже не работали?
| Страна | Что отключали или ограничивали |
|---|---|
| Нидерланды | DigiD, портал Overheid.nl, сайт нижней палаты парламента, порт Роттердама, больницы, сайты партий |
| Финляндия | Часть госсервисов (провайдер Valtori) |
| Франция | Сайты местных администраций, сайт полиции Парижа |
| Германия | Несколько порталов федеральной ИТ-службы ITZBund |
| Япония | Часть сервисов Минфина, отдельные онлайн-услуги банка MUFG |
| Канада | Часть правительственных сайтов |
Хакеры уже атакуют?
Да, попытки есть. Глава Cloudflare Мэттью Принс написал, что тысячи попыток эксплуатации сеть компании зафиксировала за 10 часов до публичного объявления, а затем счет пошел на сотни тысяч и миллионы. При этом Фонд PHP на момент выхода патча не видел работоспособных вариантов атаки в утекшем демонстрационном коде. Попытка — еще не успешный взлом.
Опасно ли сейчас заходить на сайты обычному человеку?
Сам по себе визит на сайт не заражает ваш телефон или компьютер — уязвимость касается серверов. Риск в другом: со взломанного сайта могут утечь ваши данные, а сам сайт могут использовать для спама, вредоносных файлов или фишинговых страниц. Крупные банки и госструктуры обновятся быстро. Блоги и сайты небольших магазинов, по словам экспертов, могут оставаться уязвимыми неделями и месяцами.
Что сделать пользователю прямо сейчас?
- Не вводите пароли и данные карты на сайтах, которые ведут себя странно: неожиданные переадресации, всплывающие окна с просьбой что-то установить.
- Включите двухфакторную аутентификацию в почте, банке и соцсетях.
- Не используйте один пароль на разных сайтах: если утечет база небольшого магазина, взломщики попробуют его и в почте.
- Ближайшие недели будьте особенно внимательны к письмам и СМС «от банка» или «службы безопасности».
Как мошенники используют утекшие данные, чтобы добраться до банковского счета, мы разбирали в материале о SIM-свопинге.
У меня свой сайт на WordPress. Что делать?
WordPress, Drupal и Joomla работают на PHP, так что вопрос к вашему хостингу. Защищенными считаются версии PHP 8.5.12, 8.4.27, 8.3.36 и 8.2.35. Более старые ветки официально не поддерживаются, и CERT-EU советует считать их уязвимыми, если поставщик не перенес исправление сам. Проверьте версию в панели хостинга или напишите в поддержку. Обновление плагинов WordPress здесь не поможет: менять нужно сам PHP на сервере.
Если сайт обновили, проблема решена?
Не полностью. Многие сайты зависят от сторонних сервисов — платежных модулей, систем рассылок, — и если те медлят с патчем, риск остается. Данные, которые утекли до обновления, тоже никуда не денутся и могут всплыть в фишинговых атаках.
Что дальше?
Ближайшие дни отключенные сайты будут постепенно возвращаться в сеть. Еврокомиссия, ENISA, CERT-EU и Европол в совместном заявлении призвали организации обновляться в первую очередь системы, доступные из интернета. Фонд PHP, в свою очередь, использует ситуацию, чтобы напомнить: безопасность языка, на котором держатся банки и госуслуги, обеспечивает небольшая команда разработчиков и добровольцев.
Фото: техник у серверной стойки в дата-центре, архивное фото. Derrick Coetzee / Wikimedia Commons, CC0, commons.wikimedia.org.