Дві критичні вразливості в мові програмування PHP, яку використовує приблизно 69,3% вебсайтів з визначеною серверною мовою, змусили низку помітних ресурсів тимчасово припинити роботу. Серед них — 4chan, DeviantArt і Wikipedia, а також урядові сайти Нідерландів і Фінляндії. Ігрові сервіси Pokémon Home та Pokémon Champions також були виведені з ладу.
Вразливості, які отримали назву PHP2Shell, виявили незалежно одна від одної дві команди з ШІ. Група безпеки Calif компанії OpenAI знайшла їх за допомогою моделі GPT-5.6 Sol, а компанія Wiz, що належить Google, підтвердила й окремо повідомила про проблеми. За даними VirusTotal, сканери фіксують близько 3,8 мільйона сайтів на PHP із відкритим портом.
Проблема існує близько 20 років, але раніше її використання вимагало надзвичайно складного ланцюга дій, майже неможливого для людини. Сучасні моделі ШІ значно спростили перетворення таких маловідомих помилок на реальні загрози. PHP Foundation підтверджує, що експлойт для однієї з вразливостей «теоретично розглядався» у 2024 році, але конкретних шляхів реалізації тоді не було.
Перша вразливість, CVE-2026-109618 (GHSA-w8hw-w9fx-j79w), стосується обробки помилок «out-of-memory». Вона може призвести до переривання роботи PHP під час часткової ініціалізації внутрішніх даних запиту, і очищення запиту трактує недійсні дані як коректні. Друга, CVE-2026-109619 (GHSA-6wmf-4rv5-p3rp), пов’язана із «застарілим глобальним станом»: внутрішній стан, що належить запиту, може залишатися активним після звільнення його пам’яті, і наступний запит того самого робітника використає цей стан до нормального скидання.
За даними PHP Group, хакери можуть використати ці діри для «неавторизованого виконання віддаленого коду» — запуску власного коду, зміни контенту сайту та доступу до збережених даних без логіну й пароля адміністратора. Під загрозою практично будь-який сайт на PHP. OpenAI характеризує ситуацію як «одну з найбільш значущих проблем безпеки за останній час», а Wiz — як «одні з найсерйозніших, виявлених за всю історію програмного забезпечення».
Наслідки для бізнесу конкретні: зловмисники можуть отримати повний контроль над сервером, включно з паролями, ключами API, криптографічними сертифікатами та базами конфіденційної інформації. Скомпрометовані сервери також перетворюються на інструменти для атак на інші ресурси.
Агентство національної безпеки США (NSA) у своєму акаунті в соцмережі X рекомендувало організаціям відключати системи, якщо негайне оновлення неможливе. Британський національний центр кібербезпеки також підтвердив необхідність вжити заходів. PHP Group готує екстрений патч, а атаки, за повідомленнями, вже почалися.
Для звичайних користувачів ризик обмежений: вразливість стосується серверів на PHP, а не кінцевих пристроїв. Але скомпрометовані сайти можуть поширювати шкідливе програмне забезпечення та красти дані, тому варто стежити за офіційними акаунтами сервісів, якими користуєтеся, перед візитом.
Власникам сайтів, навіть найпростіших блогів, слід перевірити версію PHP. Ресурси на Squarespace чи Wix, які не підтримують PHP, поза зоною ризику. Клієнтам Hostinger, GoDaddy, Bluehost та інших хостинг-провайдерів варто бути пильними: GoDaddy радить вважати будь-який сайт на PHP ураженим і якнайшвидше оновитися до виправленої версії, а сайти на PHP 8.1 або старіших версіях — перевести на новіші, бо офіційних виправлень для них уже не буде. Користувачам керованого хостингу слід уточнити у провайдера терміни розгортання патча.
Для українських команд це прямий привід перевірити стек: чимало агенційних сайтів, клієнтських блогів і навіть невеликих e-commerce проєктів досі живуть на WordPress і старіших версіях PHP. Якщо на ресурсі зберігаються дані клієнтів чи платіжна інформація, найбезпечніше тимчасово вимкнути сайт до встановлення оновлення безпеки. Це рідкісний випадок, коли ШІ не просто прискорив роботу, а й суттєво змінив баланс сил у кібербезпеці — і українським продактам та розробникам варто врахувати це в планах на найближчі дні.
5
