М илиони опити за използване на критичните уязвимости в програмния език PHP са били регистрирани след публичното им разкриване, съобщи "Ройтерс", позовавайки се на компанията за киберсигурност Cloudflare.
Докато правителства и големи организации продължават да актуализират системите си, специалистите предупреждават, че нападателите могат да се възползват от краткия период между публикуването на поправките и инсталирането им от всички засегнати сървъри.
Глобална тревога в интернет, държави и компании свалят сайтове
Главният изпълнителен директор на Cloudflare Матю Принс съобщи, че първоначално са регистрирани хиляди опити за атаки, след което броят им е нараснал до десетки хиляди в рамките на 45 минути, стотици хиляди за два часа и милиони общо.
Междувременно данни на компанията за интернет разузнаване Censys, цитирани от "Ройтерс", показват, че около 1,5 милиона от общо 2,6 милиона наблюдавани хоста използват версии на PHP, за които към момента няма налична поправка. Това не означава, че всички тези системи вече са компрометирани, но показва мащаба на потенциално изложената на риск инфраструктура.
- Какво могат да направят хакерите
Уязвимостите са обозначени като CVE-2026-109618 и CVE-2026-109619 и са оценени като критични с оценка 9,2 от максималните 10 по системата CVSS.
Те засягат самата среда за изпълнение на PHP, а не само отделни сайтове или техни добавки. При определени условия нападател може да изпълни собствен код върху уязвим сървър, без да е необходимо предварително да се идентифицира като потребител. Това може да отвори път към достъп до чувствителни данни, промяна на съдържание, инсталиране на зловреден софтуер или прекъсване на услуги.
Първата уязвимост е свързана с обработката на грешки при изчерпване на оперативната памет. При определени заявки PHP може да прекъсне обработката, преди вътрешните данни да са напълно инициализирани, а последващото почистване на заявката да използва невалидно състояние.
Втората уязвимост позволява вътрешно състояние, свързано с дадена заявка, да остане достъпно след освобождаването на паметта, която го поддържа. При следваща заявка същият процес може да използва тези остарели данни.
По данни на Google Cloud пропуските засягат версии от PHP 5.4 до 8.5.11. Те са останали неоткрити повече от десетилетие, преди изследователи да ги идентифицират с помощта на инструменти с изкуствен интелект.
Cloud services firm Cloudflare saw millions of exploitation attempts after the public disclosure of critical vulnerabilities in the widely used programming language PHP, CEO Matthew Prince said in a post on X https://t.co/BPxIwcpn2Z
— Reuters (@Reuters) October 22, 2026
- Amazon е засякла опит още преди разкриването на проблема
Един от най-тревожните детайли в разследването е, че опити за използване на уязвимостите са регистрирани още преди официалното им оповестяване.
Ръководителят на екипа за сигурност на Amazon Web Services Си Джей Моузес съобщи в публикация, че на 17 октомври компанията е засякла опит за атака срещу специално подготвена примамка, известна като honeypot. Този тип системи се използват за наблюдение на действията на потенциални нападатели.
Опитът е дошъл от анонимен интернет адрес. Не е установено как извършителят е научил за уязвимостите, докато информацията е била поверителна. Според Amazon след това, в сряда, са последвали нови опити от различни източници.
Компанията уточнява, че не е ясно дали всички тези опити биха били успешни срещу реални сайтове. Въпреки това Amazon предупреди, че уязвимостите вече се използват активно в интернет.
Cloudflare също съобщи, че е наблюдавала атаки и промени в злонамерените заявки, чрез които извършителите са опитвали да заобиколят защитите. Компанията е внедрила правила за блокиране на подобен трафик още преди публичното разкриване на проблема.
Тези защитни механизми осигуряват допълнителен слой сигурност, но не заменят необходимостта от инсталиране на официалните поправки.
- Кои сайтове бяха засегнати
Предупрежденията на службите за киберсигурност доведоха до временно изключване на публични сайтове и услуги в няколко държави. Мярката беше предприета като предпазна стъпка, докато бъдат приложени актуализациите.
В Нидерландия временно бяха изключени сайтове на държавни институции, включително правителствения портал Overheid.nl, както и сайтове на организации, сред които пристанището на Ротердам и националната футболна асоциация KNVB. Прекъсвания засегнаха и сайтове на политически партии и болници.
Във Финландия бяха спрени публични мрежови услуги на държавната администрация. Във Франция Министерството на вътрешните работи постави сайтовете си в режим на превантивна поддръжка. Германските власти също потвърдиха временно изключване на няколко сайта, управлявани от федералния доставчик на информационни технологии ITZBund.
Сред засегнатите услуги бяха и някои страници на общинския съвет на Единбург. Wikimedia, организацията зад Wikipedia, и Internet Archive също съобщиха за временно спиране на част от системите си, докато бъдат приложени мерките за защита.
В Япония Mitsubishi UFJ Financial Group временно спря някои интернет услуги като предпазна мярка.
Тези действия не означават, че всички изброени организации са били успешно атакувани или че техни данни са откраднати. В много случаи става дума за превантивно ограничаване на достъпа, за да се намали рискът, докато системите бъдат защитени.
Government and business websites across Europe have been taken down because of a serious security flaw, discovered by a researcher using AI. Science and technology editor @t0mclark3 tells @LeahBoleto the latest. ⬇️ 🇬🇧 https://t.co/KG8L4TUSkI https://t.co/LS5xxid8GN
— Sky News (@SkyNews) October 21, 2026
- Как изкуственият интелект откри пропуските
Уязвимостите бяха установени от изследователи на компаниите Calif и Wiz в рамките на координирана работа с разработчиците на PHP и други участници в инициативата за киберсигурност Patch the Planet.
Calif съобщи, че е открила първия проблем на 1 август с помощта на модела GPT-5.6 Sol на OpenAI. Изследователите са работили по отстраняването му с разработчиците, преди информацията да стане публична.
Екипът на Wiz, част от Alphabet, също е открил и докладвал уязвимостите независимо. В работата са използвани инструменти за автоматизирано изследване на сигурността, включително Wiz Atlas, както и модели на Google и OpenAI.
Според Wiz усъвършенстваните модели са позволили на изследователите да открият слабости в код, който е бил използван в продължение на години. Компанията посочва, че изкуственият интелект е ускорил и разработването на работещи експлойти, което показва колко бързо подобни техники могат да преминат от изследователска среда към реални атаки.
OpenAI определи случая като пример за нарастващото значение на координацията между разработчици, специалисти по киберсигурност и доставчици на инфраструктура. Компанията заяви, че възможностите на изкуствения интелект могат да помогнат за откриването на сериозни пропуски, но същевременно създават риск нападателите да разработват средства за експлоатирането им много по-бързо.
- Какво трябва да направят собствениците на сайтове
Разработчиците на PHP публикуваха спешни актуализации за четири поддържани версии:
- PHP 8.5.12
- PHP 8.4.27
- PHP 8.3.36
- PHP 8.2.35
Екипът на проекта препоръчва незабавно инсталиране на съответната поправка. Версиите PHP 8.1 и по-старите издания вече не получават актуализации директно от проекта, макар че някои доставчици на операционни системи и дългосрочна поддръжка могат да предоставят отделни корекции. Организациите, които използват такива версии, трябва да проверят указанията на своя доставчик или да преминат към поддържано издание.
Самото обновяване на WordPress или на отделна добавка не отстранява проблема, тъй като уязвимостите са в PHP средата, която изпълнява кода. Ако сървърът се управлява от хостинг компания, собствениците на сайтове трябва да проверят дали доставчикът е приложил актуализациите.
Американската Агенция за национална сигурност (NSA), европейският екип CERT-EU и други служби препоръчаха на организациите, които не могат да инсталират поправките незабавно, да обмислят временно изключване на засегнатите публични системи. Cloudflare също призова администраторите да актуализират PHP, дори ако използват допълнителни защитни механизми.
Експертите съветват още да се проверят логовете за подозрителни заявки и признаци на компрометиране. Инсталирането на поправка не гарантира, че сървърът не е бил атакуван преди това.
- Защо рискът е толкова голям
PHP е сред основните технологии, използвани за работата на сайтове и уеб приложения. Той стои зад системи за управление на съдържание като WordPress, Drupal и Joomla, както и зад множество онлайн магазини и други услуги.
Според W3Techs PHP се използва от около 70-75% от сайтовете, при които може да бъде установен сървърният език. Процентът се отнася до сайтовете с идентифицирана технология, а не до всички интернет адреси без изключение.
Широкото разпространение на PHP означава, че една уязвимост в основния му код може да засегне голям брой независими организации. Особено уязвими са малките сайтове, чиито собственици нямат специализирани екипи за сигурност или не управляват директно сървърите си.
Случаят показва и нов проблем за киберсигурността: след като уязвимост бъде публично описана и за нея има поправка, нападателите могат да използват същата информация, за да разработят средства за атака срещу системи, които още не са актуализирани.
Добави ни в предпочитани източници в Google
