PHP Foundation публикува на 21 октомври 2026 г. поправки за две критични уязвимости, известни като PHP2Shell, съобщава TechCrunch. Банки, търговци, платформи за игри, болници и държавни структури временно спряха сайтове и услуги, за да обновят системите си или да предотвратят атаки. Образователната платформа Smartschool също е била офлайн на тази дата заради уязвимостите. Тези предпазни спирания сами по себе си не означават, че съответните системи са били пробити.

Уязвимостите са обозначени като CVE-2026-109618 и CVE-2026-109619. Те позволяват отдалечено изпълнение на код в засегнати, необновени системи, без нападателят да разполага с парола или други данни за вход. Не е необходимо потребителят да отвори файл или да натисне връзка. Атакуващият може да получи контрол над системата, да инсталира зловреден софтуер, да открадне данни или да си осигури траен достъп.

Мащабът на риска е свързан с широкото разпространение на PHP. Според TechCrunch около 70% от достъпната през уеб част на интернет разчита на езика. Той се използва от платформи като WordPress, Drupal, Joomla и MediaWiki, която стои зад Wikipedia. Този дял описва използването на PHP, а не броя на потвърдено пробитите сайтове.

Слабостите са били забелязани още през 2024 г., но тогава не са смятани за използваеми за атаки и не са били поправени. По-късно изследователи от Calif са разработили начин за експлоатирането им и са уведомили PHP Foundation. Фондацията е подготвила поправките и е предоставила информация и предварителен достъп до тях на големи интернет компании и хостинг доставчици при условия на поверителност, за да могат да обновят системите си преди публичното разкриване.

Работата на Calif е част от инициативата Hack the Planet на OpenAI и Wiz, които са проверили демонстрационните атаки на изследователите. По обяснението на Calif изкуственият интелект е помогнал при разработването на начина за експлоатация, но основната работа е стъпила върху вече натрупаните познания на екипа за кода на PHP и предишните атаки срещу него.

Има данни за атаки още преди публичното излизане на поправките. Според цитираното от TechCrunch съобщение на Amazon защитните екипи трябва да търсят следи от експлоатация още от 17 октомври. Компанията посочва, че не е ясно как нападателят е научил за уязвимостите. PHP Foundation обвинява една компания, че е публикувала поправките часове преди края на договорения период на поверителност, но това не обяснява по-ранната активност, засечена от Amazon.

Към късните часове на петък Palo Alto Networks и Trail of Bits вече съобщават за потвърдени пробиви и последваща злонамерена дейност, пише TechCrunch. Към публикацията на изданието от 24 октомври няма признаци за масова експлоатация. Изпълнителният директор на Cloudflare Матю Принс обаче съобщава за рязко нарастване на опитите за атаки след разкриването на уязвимостите.

Рискът остава за засегнатите системи без инсталирани поправки, включително продукти, които вграждат PHP. Езикът се използва не само в уеб сървъри, а и в инструменти за разработчици, пакети за командния ред и софтуерни компоненти на рутери, устройства за съхранение на данни, защитни стени и VPN устройства. Доставчиците, които включват PHP в собствените си продукти, също трябва да ги обновят. Според изданието последиците могат да се усещат с години при остарели системи, за които няма възможност за обновяване.