Уязвимость в PHP была известна за два года до атаки PHP2Shell

В октябре 2026 года языковая модель GPT 5.6-Sol от OpenAI обнаружила критические уязвимости в популярном языке программирования PHP. Как выяснилось из опубликованного постмортема, небольшая команда разработчиков знала об этой проблеме еще два года назад, но затянула с устранением из-за трудностей совместимости.

• Искусственный интеллект ускорил поиск уязвимостей, сделав классическое 90-дневное окно раскрытия бессмысленным.
• Около 70% сайтов в интернете используют PHP, причем 73% серверов работали на устаревших версиях без активной поддержки.
• Корнем проблемы стало архитектурное решение с использованием функции longjmp() в механизме обработки ошибок.
• Активный эксплойт PHP2Shell позволяет злоумышленникам выполнять произвольный код на уязвимых серверах.

Архитектурные корни уязвимости и ошибка в longjmp

Технической причиной проблемы стало древнее архитектурное решение в движке PHP, связанное с обработкой ошибок. Когда PHP-процесс исчерпывает оперативную память, он вызывает C-функцию longjmp(), которая немедленно прерывает текущее выполнение и переносит его в другое место без лишних вопросов.

Реальная беда заключается в том, что если такой прыжок происходит во время построения структуры данных (например, добавления элемента массива или инициализации объекта), недостроенные данные остаются в куче памяти. При переходе к механизму завершения код пытается обработать неполные байты, что приводит к уязвимости.

Реакция фонда PHP и масштаб проблемы устаревших версий

Фонд PHP признал управленческие ошибки, отметив, что небольшой коллектив из одного штатного сотрудника и 14 подрядчиков физически не успевал вовремя обрабатывать все риски. Ситуация усугубилась тем, что миллионы серверов использовали устаревшие версии PHP седьмой и пятой ветки, которые уже не поддерживаются официально.

Многие системные администраторы полагались на долгосрочную поддержку дистрибутивов Linux или не спешили обновлять код сайтов. Из-за этого масштаб потенциального заражения оказался колоссальным, затронув десятки миллионов серверов по всему миру.

Способы защиты и текущая ситуация с эксплойтом PHP2Shell

На фоне распространения эксплойта PHP2Shell разработчики и коммерческие вендоры начали выпускать исправления и бэкпорты для старых версий, включая PHP 5.6 и выше. Такие компании, как Canonical, CloudLinux и AlmaLinux, подготовили специальные пакеты обновлений.

В качестве временных мер защиты администраторы используют брандмауэры веб-приложений (WAF) от Cloudflare, Fastly и Immunify360, а также средства мониторинга уровня сервера от CrowdStrike. Тем не менее, эксперты настоятельно рекомендуют провести полноценное обновление программного обеспечения до поддерживаемых версий PHP.

Что это означает для IT-специалистов и бизнеса: Инцидент с PHP2Shell стал серьезным напоминанием о рисках технического долга и дефицита финансирования в open-source проектах. Компаниям в регионе и по всему миру необходимо провести аудит используемого ПО, обновить устаревшие версии PHP и внедрить многоуровневую защиту для предотвращения кибератак.