Две критические уязвимости в языке программирования PHP привели к массовым сбоям в работе интернет-ресурсов, включая Wikipedia, 4chan и DeviantArt. В качестве меры предосторожности государственные ведомства Нидерландов и Финляндии, а также сервис Pokémon Home временно отключили свои системы.
Обнаруженные бреши, зарегистрированные как CVE-2026-109618 и CVE-2026-109619, позволяют злоумышленникам выполнять произвольный код без авторизации. Это дает возможность получить полный контроль над сервером, доступ к паролям, API-ключам и базам данных, а также использовать узлы для атак на другие системы.
Уязвимости были выявлены с помощью ИИ-моделей специалистами компаний Wiz и Calif. Хотя проблемы присутствовали в коде PHP около 20 лет, их эксплуатация считалась крайне сложной для человека. Использование ИИ позволило упростить процесс обнаружения векторов атаки, которые ранее оставались скрытыми.
По данным W3Techs, PHP используется на 69,3 процента сайтов с известным серверным языком программирования. Сервис VirusTotal фиксирует около 3,8 миллиона сайтов на PHP с открытыми портами. Технический директор Cloudflare сообщил о первых зафиксированных попытках использования уязвимостей.
PHP Group классифицирует проблему как критическую для всех сайтов на этом языке. Хостинг-провайдер GoDaddy рекомендует владельцам ресурсов обновиться до актуальных версий. Сайты на PHP версии 8.1 и старше не получат официальных исправлений, так как поддержка этих версий прекращена.
