Сайты отключаются, пока PHP устраняет две критические уязвимости с оценкой 9,2 из 10

Команда безопасности PHP выпустила патчи примерно в 10:00 по восточному времени, чтобы устранить две уязвимости языка программирования PHP, по данным NBC News и The Verge. Каждой из них присвоена оценка серьезности 9,2 из 10. По данным NBC News, власти США, Европы и Великобритании рекомендовали временно отключить сайты до устранения уязвимостей. По данным The Verge со ссылкой на компанию по кибербезопасности watchTowr, эти недостатки представляют собой эксплойты удаленного выполнения кода, которые могли бы позволить атакующим выполнять собственный код на уязвимых серверах. [ 2 , 3 ]

Фонд PHP описал уязвимости как CVE-2026-109618 и CVE-2026-109619 и заявил, что они затрагивают все установки PHP, обслуживающие веб-запросы, начиная с версии PHP 5. По данным Wired, поддерживаются и получат патчи только PHP 8.2 и более новые версии, хотя некоторые дистрибутивы и сторонние поставщики по-прежнему выпускают исправления для старых версий. CNET, напротив, сообщила, что устаревшие версии, срок поддержки которых истек, также получат экстренное обновление. По данным Newsweek со ссылкой на Google Cloud, под угрозой находятся версии PHP с 5.4 по 8.5.11, исправления выйдут в 8.5.12, 8.4.27, 8.3.36 и 8.2.35. Фонд PHP написал, что полных средств защиты не существует и что обновление — единственно безопасный вариант. [ 4 , 5 , 8 ]

Несколько сайтов отключились. NBC News назвала Pinboard, некоторые части Википедии, а также 4Chan и Something Awful и сообщила, что японские сайты также добровольно отключились. GOG сообщила, что в 8:00 по тихоокеанскому времени ее сайт и лаунчер будут недоступны около двух часов, а по данным PC Gamer, он вернулся примерно через четыре часа после сбоя. По данным PC Gamer, правительство Финляндии также закрыло сайты. Engadget со ссылкой на Reuters сообщила, что правительства Нидерландов, Дании, Франции и Финляндии закрыли по меньшей мере некоторые сайты, а министр искусственного интеллекта и цифровых инноваций Канады Эван Соломон написал в X, что они временно отключаются. [ 3 , 7 , 10 ]

Управление кибербезопасности Агентства национальной безопасности США заявило в X, что если немедленное обновление невозможно, организациям следует отключить систему до полного устранения проблемы. Группа реагирования на компьютерные инциденты ЕС и Национальный центр кибербезопасности Великобритании опубликовали аналогичные рекомендации. По данным Engadget, основной ответ правительства США пока ограничился сообщением Агентства по кибербезопасности и безопасности инфраструктуры с призывом организациям обновиться. Cloudflare сообщила, что фиксирует первые атаки, а ее технический директор заявил, что в межсетевой экран установлено исправление. По словам watchTowr, компания наблюдала эксплуатацию уязвимостей в реальных условиях, но до сих пор ни одна атака не была успешной. [ 2 , 4 , 5 , 8 , 10 ]

Масштаб уязвимости пока не определен. NBC News со ссылкой на W3Techs сообщила, что PHP используется на 69% всех сайтов, а Censys насчитал почти 55 млн веб-ресурсов на PHP, и отметила, что неясно, сколько из них установили обновление. По данным The Verge, один исследователь оценил, что более 1,3 млн подключенных к интернету хостов, вероятно, затронуты. Wordfence предупредила, что исправление нельзя установить автоматическими обновлениями. OpenAI заявила, что помогла обнаружить уязвимость, а CNET сообщила, что, по словам OpenAI, команда хакеров Calif нашла ее с помощью GPT-5.6 Sol, а Wiz выявила ее независимо. [ 2 , 3 , 5 ]