У мові програмування 70% сайтів знайшли критичні вразливості

У мові програмування PHP, на якій працює близько 70% усіх сайтів в інтернеті, виявили дві критичні вразливості. Вони дозволяють зловмисникам виконувати довільний код на віддаленому сервері без жодної авторизації та отримувати доступ до конфіденційних даних. Обидві отримали оцінку небезпеки 9,2 з 10 балів — 21 жовтня 2026 року розробники PHP випустили екстрені оновлення безпеки.

Вразливостям присвоєно ідентифікатори CVE-2026–109618 та CVE-2026–109619. Обидві пов’язані з помилками керування пам’яттю всередині самого PHP, що виникають при аварійному завершенні обробки веб-запитів. У результаті програма може повторно звернутися до вже звільнених ділянок пам’яті або використати пошкоджені внутрішні дані — це відкриває шлях до витоку паролів, токенів доступа та виконання шкідливих команд.

Вразливості виявили дослідники компанії Wiz та незалежна команда Calif — і ті, й інші застосовували сучасні моделі штучного інтелекту. За даними Ope­nAI, команда Calif використала модель GPT‑5.6 Sol для виявлення однієї з проблем. Фахівці Wiz незалежно знайшли обидві вразливості, задіявши кілька ШІ-систем для аналізу коду та перевірки можливих векторів атак.

Особливу небезпеку становить те, що помилки містяться безпосередньо в PHP, а не в окремих системах керування сайтами. Дослідники Wiz продемонстрували виконання шкідливого коду без авторизації на тестових інсталяціях Word­Press, Dru­pal і Joom­la. Під загрозою потенційно опиняються й будь-які інші вебзастосунки, що використовують уражені версії інтерпретатора.

Розробники повідомили, що проблеми існували в коді PHP понад десять років. Для їх усунення підготовлено оновлення PHP 8.2.35, 8.3.36, 8.4.27 та 8.5.12. Власникам сайтів рекомендують встановити виправлення негайно: оновлення самої CMS не ліквідує помилку в інтерпретаторі PHP.

У реагуванні на загрозу взяли участь Ope­nAI, Wiz, Cloud­flare та інші компанії. Cloud­flare заздалегідь запровадила додаткові правила захисту вебзастосунків і зафіксувала спроби експлуатації вразливостей. Втім, такі засоби лише знижують ризик атак і не замінюють встановлення патчів.

Інцидент також яскраво показав зростаючу роль штучного інтелекту в кібербезпеці: сучасні моделі здатні знаходити давні помилки в програмному коді, однак ті самі інструменти потенційно доступні й зловмисникам. Реальна кількість уразливих серверів залишається невідомою — вона залежить від встановленої версії PHP, конфігурації та наявності захисних оновлень.