На днях обнаружили две чрезвычайно опасные уязвимости в PHP. Для тех, кто не знает: PHP — это язык программирования, с помощью которого работают миллионы сайтов.
Обнаруженные ошибки позволяют злоумышленникам удалённо запускать на серверах чужие программы и команды, даже не зная паролей. Проще говоря, взламывать серверы и получать доступ к чужим данным. Да хоть заменить сайт целиком.
Опасность настолько серьёзная, что исправлять эти ошибки пришлось в экстренном порядке.
Разработчики PHP отреагировали очень оперативно. Предупредили об угрозе 20 октября, а исправленные версии выпустили 21 октября 2026 года, примерно через 17 часов после официального предупреждения. В них устранили обе обнаруженные уязвимости.
То есть, по сути, решение достаточно простое: взять и обновить PHP до безопасной версии. Обычно это делает хостинг-провайдер, а если сервером управляешь самостоятельно — придётся обновлять самому.
Приличные хостинг-провайдеры уже ночью прислали уведомления о том, что установили обновлённые версии PHP или необходимые заплатки. У остальных мне пришлось спрашивать самому, писать письма. Надо отдать должное, ответили все достаточно быстро: да, всё установили, всё в порядке. Почему нельзя было сообщить об этом самостоятельно — не знаю.
А между тем в интернете уже рассказывают довольно жуткие истории о сбоях и вынужденных отключениях.
Например, временно отключал свои сайты немецкий DENIC — тот самый, который отвечает за всю доменную зону .de. В Нидерландах отключали государственные интернет-сервисы, в том числе системы электронной идентификации. И таких историй уже немало.
Причём некоторые организации отключали свои сайты самостоятельно, от греха подальше, пока не установят необходимые обновления.
А теперь представьте, сколько в мире серверов, которые администрируют самостоятельно. Все ли их владельцы вообще узнали об уязвимостях? Все ли успели установить обновления? И все ли сделали это правильно, ничего при этом не сломав? Вот здесь уже большой вопрос.
Очень надеюсь, что всё обойдётся. По крайней мере, у моих клиентов пока всё работает нормально.
Весёленькая, в общем, история получается. И что-то мне подсказывает, что это ещё далеко не конец. Посмотрим, что будет дальше.
