ОтветыОпубликовано24 источники
Кризис PHP2Shell показал, кто поддерживает безопасность открытого ПО
Две уязвимости PHP позволяли выполнять код на сервере без входа в систему и получили оценку критичности 9,2. PHP, по оценкам СМИ, используется до 70% сайтов, однако это не означает, что все они были уязвимы или взломаны.[11] PHP2Shell напомнил: обнаружить ошибку недостаточно — нужны ресурсы на проверку, выпуск испра...
ОпубликовалОтредактировано с помощью GPT-6 LunaИзображения созданы с помощью GPT Image 2
Ответ на исследование
Ключевые выводы
- Две уязвимости PHP позволяли выполнять код на сервере без входа в систему и получили оценку критичности 9,2.
- PHP, по оценкам СМИ, используется до 70% сайтов, однако это не означает, что все они были уязвимы или взломаны.[11]
- PHP2Shell напомнил: обнаружить ошибку недостаточно — нужны ресурсы на проверку, выпуск исправлений и их установку.
Промпт ИИ
openai.comCreate a landscape editorial hero image for this Studio Global article: What does the October 2026 PHP2Shell crisis reveal about PHP security and open-source underfunding, including PHP’s use by an estimated 70%. Article summary: PHP2Shell illustrates a mismatch between the importance of widely deployed open-source software and the capacity to secure, review and update it: critical PHP flaws triggered emergency patching across a technology report. Topic tags: general, general web. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fake numbers, click
PHP2Shell стал тревожным сигналом для всей веб-индустрии: уязвимость в широко распространённом программном обеспечении может потребовать срочных действий от организаций по всему миру. В октябре 2026 года разработчики PHP выпустили экстренные обновления для двух критических ошибок. Инцидент также вновь поставил вопрос, хватает ли у открытых проектов людей и средств, чтобы проверять и поддерживать код, на котором работает значительная часть интернета.22
Что произошло
Уязвимости CVE-2026-109618 и CVE-2026-109619 могли позволить злоумышленнику выполнять код на уязвимом сервере PHP без авторизации. Обе получили оценку критичности 9,2.9
17 Речь идёт о проблемах в самом PHP — среде, которая выполняет код, — а не о доказательстве того, что все сайты на PHP были небезопасно написаны.
21 октября PHP выпустил исправленные версии 8.5.12, 8.4.27, 8.3.36 и 8.2.35.18
27 Исследовательская группа Calif указывает, что уязвимости обнаружили Calif, OpenAI и Wiz.
15 Выпуск оказался связан и с напряжённой историей раскрытия информации: сопровождающие PHP обвинили компанию Chainguard в публикации сведений до согласованной даты. По сообщениям СМИ, после этого проект выпустил обновления раньше запланированного срока.
35
37
Оценка, что PHP используется «до 70% сайтов», показывает масштаб распространения технологии, но не число уязвимых или взломанных ресурсов.11 В источниках, на которые опирается эта статья, также не подтверждена конкретная оценка EFF о том, что 23 октября уязвимыми оставались более 33 миллионов систем.
Попытка атаки — ещё не доказательство взлома
По сообщениям, Amazon обнаружила попытку эксплуатации уязвимостей 17 октября — до публичного выпуска исправлений. Позднее компания описывала широкие попытки атаковать уязвимые системы.34 Другие публикации сообщали о миллионах попыток.
6
Одновременно организации временно отключали сервисы в качестве меры предосторожности, пока устраняли проблему. Среди примеров в публикациях — сервисы, связанные с Министерством финансов Японии и портом Роттердама.12 Само по себе отключение сайта не означает, что злоумышленники получили к нему доступ.
В сообщении BBC от 22 октября говорилось, что подтверждённых случаев успешной эксплуатации не было; 23 октября Security Affairs также писало, что успешные атаки не подтверждены.9
31 Эти сведения могут относиться к разным временным периодам или по-разному определять «эксплуатацию». Приведённые данные указывают на попытки атак, но не доказывают, что миллионы серверов были взломаны.
Почему важно финансировать сопровождение
PHP2Shell показал, что обнаружение ошибки — лишь начало длинной цепочки. Нужно проверить находку, согласовать раскрытие информации, подготовить и выпустить исправление, а затем помочь организациям установить его. Sovereign Tech прямо связала этот инцидент с нехваткой финансирования для защиты критически важного открытого ПО.22
Поэтому важен не только темп поиска уязвимостей, но и способность сопровождать их устранение. Новые находки добавляют работы и разработчикам, и специалистам по безопасности. Однако сам по себе рост числа опубликованных уязвимостей не доказывает, что программное обеспечение стало менее защищённым или что причиной роста стал искусственный интеллект. Инструмент может помочь найти ошибку, но он не заменяет людей, которые должны её проверить, подготовить исправление и обеспечить его установку.
Что делать организациям, использующим PHP
- Проверить, где используется PHP. Составить список доступных из интернета сервисов и выяснить, какие версии среды реально на них запущены.
- Установить подходящее исправление. Выбрать обновление для используемой ветки PHP или следовать подтверждённым рекомендациям поставщика, если среда обслуживается им. Исправленные версии опубликованы 21 октября.
18
27
- Убедиться, что обновление работает. После установки проверить запущенные службы и обработчики PHP; в опубликованных рекомендациях также говорится о необходимости перезапустить обработчики после обновления.
32
- Точно описывать ситуацию. Различать уязвимые системы, попытки эксплуатации и подтверждённые взломы. Поток подозрительных запросов или временное отключение сервиса сами по себе не доказывают компрометацию.
Главный вывод PHP2Shell не в том, что PHP «небезопасен по своей природе». Он в том, что широко используемое программное обеспечение нуждается в постоянной проверке и обслуживании. Чем быстрее обнаруживаются ошибки, тем важнее иметь ресурсы на весь путь от проверки до установки исправления.11
22
Studio Global AI
Продолжайте свое исследование
На этой странице есть ответ, подтвержденный источником, который вы можете продолжить внутри Studio Global.
Люди также спрашивают
Каков краткий ответ на вопрос «Кризис PHP2Shell показал, кто поддерживает безопасность открытого ПО»?
Две уязвимости PHP позволяли выполнять код на сервере без входа в систему и получили оценку критичности 9,2.
Какие ключевые моменты необходимо проверить в первую очередь?
Две уязвимости PHP позволяли выполнять код на сервере без входа в систему и получили оценку критичности 9,2. PHP, по оценкам СМИ, используется до 70% сайтов, однако это не означает, что все они были уязвимы или взломаны.[11]
Что мне делать дальше на практике?
PHP2Shell напомнил: обнаружить ошибку недостаточно — нужны ресурсы на проверку, выпуск исправлений и их установку.
Источники
sovereign.techPHP2Shell exposes the funding gap in open-source security
bbc.co.ukPHP: What is it and why did it spark a global cyber security ...
cybelangel.comAffected Versions And Patch...