Десятки тысяч веб-ресурсов в российском сегменте интернета оказались в зоне повышенного риска из-за обнаружения двух критических брешей в языке программирования PHP. Использование искусственного интеллекта позволило специалистам выявить ошибки, которые ранее оставались незамеченными. По словам Валентина Малых, руководителя центра разработки больших языковых моделей MWS AI, входящего в структуру МТС Web Services, под угрозой взлома в России могут находиться сотни тысяч сайтов.
Масштаб проблемы обусловлен повсеместным распространением PHP: согласно статистическим данным W3Techs на 21 октября, этот язык используют 90,9% русскоязычных сайтов с определенным серверным стеком, в то время как в глобальном масштабе его доля составляет 69,3%. Опасность представляют ошибки, позволяющие хакерам удаленно исполнять произвольный код на сервере. По оценке эксперта Positive Technologies Александра Леонова, критичность данных уязвимостей достигла 9,2 баллов по шкале CVSS 4.0, так как злоумышленники могут проводить атаки без предварительной авторизации. При этом проблема затрагивает различные конфигурации, включая Apache с модулем mod_php и PHP-FPM.
Техническая суть угроз заключается в двух разных механизмах. Первая ошибка провоцирует выполнение кода на сервере при дефиците оперативной памяти. Вторая уязвимость связана с некорректным сохранением состояния между запросами, что может привести к утечке конфиденциальной информации, включая пароли, ключи доступа, токены сессий и цифровые сертификаты. Обнаружить подобные утечки крайне сложно. Лука Сафонов, выступающий бизнес-партнером по инновационному развитию в ГК «Гарда», отмечает, что простого обновления систем управления контентом (CMS), таких как WordPress, Drupal или Joomla, недостаточно — необходимо обновлять именно саму среду выполнения PHP.
Ситуация уже привела к серьезным прецедентам в Европе. 21 октября из соображений безопасности были временно отключены государственные порталы и важные инфраструктурные объекты в Германии, Франции, Бельгии, Нидерландах и Финляндии. В списке приостановивших работу ресурсов значатся сайты французских префектур, порта Роттердама, правительственный ресурс Нидерландов Overheid.nl и национальная футбольная ассоциация KNVB. При этом финский ИТ-центр Valtori сообщил, что фактов утечки данных или успешных атак на их ресурсы зафиксировано не было.
Роль ИИ в этом инциденте стала определяющей. Одну из уязвимостей выявила модель GPT-5.6 Sol от компании OpenAI в рамках проекта Patch the Planet. В то же время компания Wiz, принадлежащая Google, провела независимое исследование и оповестила разработчиков о второй бреши. Подготовка исправлений велась в закрытом режиме около двух месяцев. Валентин Малых сравнивает периодическое появление таких ошибок в PHP с «Тришкиным кафтаном», подчеркивая, что процесс закрытия уязвимостей в этом языке зачастую затягивается.
В России крупные хостинг-провайдеры начали рассылать предупреждения пользователям во второй половине дня 21 октября. По информации Лука Сафонова, многие владельцы ресурсов были вынуждены отключить свои сайты до момента выхода патчей, которые стали доступны примерно в 17:00 по московскому времени. Он также добавил, что современные инструменты ИИ способны проникать глубже и быстрее традиционных методов поиска, находя ошибки, существовавшие годами.
Специалисты предупреждают о грядущей «волне атак», так как эксплойты для эксплуатации данных дыр уже начали появляться в открытом доступе, а компания Cloudflare уже фиксирует первые попытки использования уязвимостей. В качестве экстренной меры защиты до обновления системы можно использовать WAF (Web Application Firewall) — фильтры, блокирующие вредоносный трафик, однако их эффективность ограничена, если у хакера есть прямой доступ к серверу.
Для обеспечения безопасности эксперты настоятельно рекомендуют:
— Незамедлительно произвести обновление PHP до исправленной версии.
— После установки патчей обязательно перезапустить веб-сервер и все фоновые процессы, чтобы очистить память от старого кода.
— Владельцам серверов, которые были доступны извне до выхода обновления, следует провести аудит на предмет следов взлома и принудительно сменить все пароли, токены и ключи.
— Если немедленное обновление невозможно, следует временно ограничить доступ к ресурсу из внешних сетей или настроить использование WAF.
