Незамкнені задні двері Інтернету: наскільки небезпечна помилка PHP?

Метью Періш

П'ятниця, 23 жовтня 2026 року

Бувають моменти, коли надзвичайна технологічна витонченість сучасної цивілізації виявляється такою, що спирається на фундамент дивовижної крихкості. Ми довіряємо свої гроші електронним банківським системам, свої історії хвороб – комп’ютеризованим базам даних, свої уряди – цифровим комунікаціям, а значну частину нашого повсякденного інтелектуального життя – вебсайтам, внутрішня робота яких для нас майже повністю таємнича. Потім хтось виявляє дефект у кількох рядках комп’ютерної програми, і раптом значні частини цієї складної архітектури виявляються вразливими для вторгнення людей, яких ніколи не слід було допускати через парадні двері.

Щось подібне сталося з виявленням двох серйозних вразливостей у PHP, одній з найпоширеніших у світі мов програмування. 21 жовтня 2026 року було випущено екстрені оновлення безпеки на тлі попереджень європейських та британських органів кібербезпеки про те, що уражені вебсайти можуть бути віддалено захоплені неавторизованими зловмисниками. Деякі урядові вебсайти були тимчасово відключені, оскільки адміністратори намагалися оцінити їхню вразливість, а фахівці з безпеки почали говорити надзвичайно серйозно про потенційні наслідки. Ми повинні точно зрозуміти, що сталося, тому що небезпека справжня, хоча й не зовсім той цифровий апокаліпсис, який деякі коментатори схильні описувати.

Що таке PHP?

PHP — це мова програмування, яка виконує значну частину невидимої роботи, необхідної для функціонування Інтернету. Коли ми відвідуємо веб-сайт, ми зазвичай бачимо слова, зображення, меню та можливості взаємодії з представленою нам інформацією. За цим, здавалося б, простим інтерфейсом комп’ютери виконують складні інструкції, отримують інформацію з баз даних, перевіряють паролі та вирішують, які матеріали має право бачити кожен відвідувач.

PHP — одна з мов, якою написані ці інструкції. Вона працює переважно на комп’ютерах, що розміщують веб-сайти, а не на телефонах чи ноутбуках, з яких їх відвідують звичайні люди. Тому вона дещо схожа на кухню ресторану: клієнт бачить готову страву, але не складну послідовність інструкцій та дій, необхідних для її приготування.

Значна частина Інтернету залежить від PHP. Він є фундаментальним компонентом WordPress, системи публікацій, що використовується мільйонами веб-сайтів, а також відіграє важливу роль у таких системах, як Drupal, Joomla та MediaWiki, програмному забезпеченні, що лежить в основі Вікіпедії. Приблизно 70 відсотків веб-сайтів, мову програмування на стороні сервера яких можна ідентифікувати, використовують PHP у тій чи іншій якості. Це надзвичайна концентрація цифрової залежності від технології, про яку більшість користувачів Інтернету ніколи не чули.

Це не означає, що 70 відсотків інтернету було зламано, або навіть що 70 відсотків веб-сайтів залишаються вразливими. Це означає, що вразливість, яка впливає на основи PHP, потенційно створює величезну кількість цілей, залежно від того, які версії програмного забезпечення встановлено та як налаштовані окремі сервери. Ця відмінність є фундаментальною для розуміння нинішньої надзвичайної ситуації.

Що ж насправді пішло не так?

Нещодавно оприлюднені вразливості, які отримали офіційні позначення CVE-2026-109618 та CVE-2026-109619 і спільну назву PHP2Shell, стосуються способу, яким PHP керує пам'яттю комп'ютера, коли під час його роботи щось йде не так. Кожна з них отримала критичний рейтинг серйозності 9,2 з 10. Це надзвичайно серйозна оцінка, хоча й не передбачення, що дев'ять із десяти вразливих вебсайтів будуть скомпрометовані.

Комп'ютерна пам'ять подібна до складної системи архівування, в якій тимчасові документи постійно створюються, змінюються, переглядаються та видаляються. Для ефективної роботи комп'ютер повинен точно знати, які частини його пам'яті містять достовірну інформацію, а які були очищені та можуть бути безпечно використані повторно. Коли програма завершує використання фрагмента пам'яті, вона не повинна згодом поводитися так, ніби вихідна інформація все ще там.

Проблема з PHP полягає в тому, що за певних обставин програма може заплутатися саме в цьому розмежуванні. Одна з вразливостей пов'язана з обробкою запиту, який вичерпує виділений обсяг пам'яті, перериваючи послідовність операцій до того, як комп'ютер належним чином організує свою внутрішню інформацію. Друга пов'язана з обставинами, за яких PHP продовжує звертатися до пам'яті, яка вже була звільнена для інших цілей.

Уявіть собі адміністративний офіс, у якому клерк починає готувати конфіденційне досьє, його перериває надзвичайна ситуація, і він припиняє завдання, не записавши належним чином виконане. Згодом приходить інший клерк, знаходить документи, які мали бути знищені або перекласифіковані, і розглядає їх як законні інструкції. Досить винахідливий зловмисник може скористатися цією плутаниною, щоб переконати офіс вжити заходів, від яких він зазвичай відмовився б.

Ця аналогія недосконала, як і всі аналогії, пов'язані з комп'ютерним програмуванням. Тим не менш, вона відображає суттєву складність: PHP іноді може втратити розуміння того, якій інформації все ще слід довіряти, і зловмисник може скористатися цією плутаниною, щоб вплинути на подальші дії комп'ютера.

Найбільш тривожним потенційним наслідком є те, що фахівці з кібербезпеки називають віддаленим виконанням коду . Звичайною мовою це означає, що хтось, хто керує іншим комп'ютером, потенційно на протилежному боці планети, може змусити вразливий комп'ютер виконувати інструкції на вибір зловмисника. У продемонстрованих атаках, що включають певні конфігурації, зловмиснику навіть не потрібні ім'я користувача чи пароль.

Цей останній пункт особливо важливий. Більшість систем безпеки веб-сайтів побудовані на припущенні, що зловмисник повинен якимось чином подолати звичайні засоби захисту, що регулюють доступ до веб-сайту. Але ці вразливості виникають у самому PHP, іноді ще до того, як власне програмування веб-сайту мало можливість перевірити, хто робить запит. Це схоже на встановлення складних замків на кожні двері в будівлі, лише щоб виявити, що дефект у фундаменті дозволяє комусь увійти через підлогу.

Що ж насправді міг би зробити зловмисник?

Можливі наслідки є суттєвими. Залежно від дозволів, наданих скомпрометованому серверу, та інших встановлених заходів безпеки, зловмисник може викрасти записи клієнтів, отримати паролі або дані автентифікації, змінити опубліковану інформацію, встановити шкідливе програмне забезпечення або використовувати уражений комп’ютер для атаки на інші системи. Злочинець може спробувати викрасти особисту фінансову інформацію, тоді як політично мотивований зловмисник може спробувати замінити вміст урядового веб-сайту пропагандою.

Існують і більш тонкі можливості. Зламаний сервер може бути використаний для розсилки шахрайських електронних листів, збору конфіденційних повідомлень або надання, здавалося б, законної відправної точки для атак на інші установи. У більш серйозному інциденті початкове вторгнення може стати першим етапом атаки програми-вимагача, під час якої важливі комп'ютерні файли шифруються, а їхнім власникам пред'являються вимоги про оплату.

Тим не менш, здатність виконувати інструкції на сервері веб-сайту не є ідентичною необмеженому контролю над усім, що до нього підключено. Сучасні комп'ютерні системи зазвичай виділяють різні рівні прав різним програмам. PHP-процес може мати дозвіл на читання певних файлів та зв'язок з певними базами даних, водночас забороняючи виконувати більш конфіденційні операції. Таким чином, правильно налаштована ізоляція між системами може значно обмежити шкоду, яку завдає зловмисник.

Це відкриття також не означає, що просте відвідування веб-сайту на базі PHP заразить телефон або персональний комп'ютер. Вразливість головним чином загрожує комп'ютерам, на яких розміщені уражені веб-сайти. Звичайні користувачі стикаються з вторинними ризиками, якщо ці комп'ютери будуть скомпрометовані, а їхня особиста інформація буде викрадена, або якщо надійний веб-сайт згодом буде використаний для розповсюдження шкідливих матеріалів.

Це різниця між небезпечною вразливістю та вселенською катастрофою. Перша створює можливості для правопорушень. Друга вимагає від злочинців успішного використання цієї можливості, подолання будь-яких додаткових засобів захисту та досягнення наслідків, достатньо масштабних, щоб поставити під загрозу ширше функціонування Інтернету.

Хтось справді скористався цим недоліком?

Тут докази потребують ретельного розгляду. 21 жовтня відділ розвідки загроз Amazon повідомив, що його системи моніторингу виявили очевидну спробу використання PHP2Shell 17 жовтня, за чотири дні до публічного випуску оновлень безпеки. Приблизно в час розкриття інформації спостерігалися й інші спроби, зокрема активність, спрямована проти систем, навмисно створених для залучення та спостереження за шкідливим комп'ютерним трафіком.

Ці висновки підтверджують, що небезпека не обмежується теоретичними дискусіями серед фахівців з інформатики. Зловмисники вже експериментують з методами використання вразливостей, а загальнодоступні демонстрації полегшили іншим стеження за цим. Згодом Amazon повідомив про широкомасштабні спроби експлуатації, спрямовані проти його інфраструктури моніторингу.

Але є важливе уточнення. Спроба атаки не обов'язково є успішною атакою, а демонстрація того, що вразливий комп'ютер може бути скомпрометований, не доводить, що злочинці вже скомпрометували значну кількість реальних веб-сайтів. Станом на 23 жовтня загальнодоступні дані, розглянуті для цієї статті, не встановлюють масштаби успішних вторгнень в операційні системи.

Тому було б безвідповідально або відкидати PHP2Shell як теоретичну курйозність, або оголошувати, що світову електронну інфраструктуру вже проникнуто. Більш розумною оцінкою є те, що дуже серйозна вразливість стала публічно доступною для використання в той час, коли інструменти, необхідні для її використання, стають дедалі доступнішими.

Несподівана роль штучного інтелекту

Мабуть, найцікавішим з інтелектуальної точки зору аспектом цієї справи є роль штучного інтелекту у виявленні вразливостей та демонстрації їхньої серйозності. Дослідники, що працюють з передовими системами штучного інтелекту, включаючи моделі, розроблені OpenAI та Google, відіграли важливу роль у встановленні того, як давні вразливості в PHP можна перетворити на практичні атаки.

OpenAI описала цю роботу як частину скоординованої ініціативи під назвою Patch the Planet , тоді як компанія з кібербезпеки Wiz пояснила, як її дослідники використовували моделі передового штучного інтелекту для пришвидшення ідентифікації та розробки робочих демонстрацій. Інша компанія з безпеки, Calif, виявила критичний недолік за допомогою GPT-5.6 Sol. Вражаючий висновок полягає в тому, що слабкі місця, які існували в тій чи іншій формі протягом багатьох років, стали набагато легшими для розуміння та використання, коли до них застосували передові інструменти штучного інтелекту.

Дійсно, PHP Foundation визнав, що ознаки однієї з основних проблем вже з'явилися під час перевірки безпеки у 2024 році. Складність полягала не лише в незнанні потенційного дефекту. Розробникам було важко визначити, як виправити проблему, не створюючи інших серйозних труднощів, а відносно невелика команда спеціалістів, відповідальних за PHP, не мала ресурсів для швидкого вирішення цих суперечливих питань.

Штучний інтелект змінив це рівняння, допомігши дослідникам продемонструвати, що вразливість була не просто незрозумілою теоретичною можливістю, а практичним шляхом до несанкціонованого контролю над комп'ютером. Як тільки це стало зрозуміло у серпні 2026 року, проблема набула значно більшої актуальності.

Тут є парадокс. Роками нас попереджали, що штучний інтелект створюватиме безпрецедентні небезпеки, надаючи зловмисникам здібності, які раніше належали лише вузькоспеціалізованим експертам. Однак у цьому випадку дослідники за допомогою штучного інтелекту допомогли виявити та усунути небезпечну слабкість, перш ніж її наслідки стали загальновідомими.

Урок полягає не в тому, що штучний інтелект за своєю суттю доброзичливий чи зловмисний. Він полягає в тому, що ШІ зменшує обсяг спеціалізованих людських зусиль, необхідних для аналізу надзвичайно складного програмного забезпечення. Це вигідно як захисникам, які хочуть виявити недоліки безпеки, так і злочинцям, які хочуть їх використати. Одні й ті ж технологічні можливості можуть служити обом цілям.

Дійсно, більш тривожним довгостроковим наслідком є те, що час, доступний для виправлення вразливостей, може скорочуватися. У минулому слабкість, для використання якої потрібні були місяці спеціалізованих досліджень, могла залишатися відносно нешкідливою, поки програмісти працювали над виправленням. Якщо штучний інтелект може стиснути місяці розслідувань до днів або годин, традиційні припущення, що регулюють кібербезпеку, стають менш надійними.

Немає потреби закликати до свідомих машин, зловісного суперінтелекту чи більш екстравагантних прогнозів ентузіастів штучного інтелекту. Насущна проблема є більш прозаїчною та значно правдоподібнішою: дедалі потужніше програмне забезпечення дозволяє людям, включаючи злочинців, виконувати складні технічні операції набагато швидше, ніж це було можливо раніше.

Вразливість України

Для України ці наслідки заслуговують на особливу увагу. Країна вже стикається з надзвичайно ворожим середовищем кібербезпеки внаслідок триваючої агресивної війни Росії. Українські державні установи, постачальники телекомунікацій, підприємства та організації громадянського суспільства повинні підтримувати комп'ютерні системи, стикаючись як зі звичайними кримінальними загрозами, так і з можливістю політично мотивованих кібероперацій.

Така вразливість, як PHP2Shell, потенційно створює ще одну можливість для ворожої діяльності. Зловмисник, який прагне порушити роботу веб-сайту місцевої влади, викрасти кореспонденцію благодійної організації або поставити під загрозу комерційний сервіс, може розглядати неналежно підтримуваний PHP-сервер як привабливу ціль. Багато невеликих українських організацій, зрозуміло, зосереджують свої обмежені ресурси на негайних операційних потребах, а не наймають спеціалізовані команди з кібербезпеки.

Це не доводить, що російські розвідувальні служби успішно використовували PHP2Shell проти українських цілей. Такий висновок не слід робити без конкретних доказів. Однак це означає, що наслідки невстановлення доступних оновлень безпеки можуть бути особливо серйозними для установ, які вже працюють у ворожому середовищі.

Існує також ширше питання інституційної стійкості. Досвід України під час війни продемонстрував, що стійкість рідко залежить від якогось окремого вражаючого технологічного досягнення. Вона залежить від підтримки незліченних звичайних систем, від електропостачання та залізничної сигналізації до екстреного зв'язку та адміністративних баз даних. Кібербезпека належить саме до тієї ж категорії: значною мірою невидима суспільна необхідність, важливість якої стає очевидною, коли вона дає збій.

Що слід зробити?

На щастя, PHP2Shell — це не проблема, для якої не існує жодного засобу вирішення. Команда безпеки PHP випустила виправлені версії 21 жовтня 2026 року, включаючи PHP 8.5.12, 8.4.27, 8.3.36 та 8.2.35. Організаціям, які використовують уражені версії, було рекомендовано негайно оновити їх, а тим, хто покладається на старіші, непідтримувані версії, слід звернутися за відповідною підтримуваною заміною або перевіреним виправленням безпеки, наданим їхнім дистриб'ютором програмного забезпечення.

Для звичайного власника веб-сайту головне питання полягає в тому, чи встановила компанія, відповідальна за хостинг веб-сайту, необхідні оновлення безпеки PHP. Наприклад, оновлення самого WordPress не обов'язково те саме, що оновлення базового інтерпретатора PHP. Ця відмінність важлива, оскільки проблема криється в звичному програмному забезпеченні веб-сайту, в механізмі, від якого воно залежить.

Для більших організацій завдання складніше. Адміністратори повинні ідентифікувати кожну уражену установку, визначити, які системи доступні з публічного Інтернету, застосувати відповідні виправлення та розслідувати підозрілу активність, яка могла статися до встановлення цих виправлень. Якщо вразливу систему неможливо швидко захистити, тимчасове видалення її з публічного доступу може бути розумним кроком.

Жодна зміна звичайних паролів користувачів сама по собі не виправить цей дефект. Адміністраторам веб-сайтів також не слід вважати, що звичайні брандмауери чи антивірусне програмне забезпечення обов'язково забезпечують комплексний захист від зловмисника, який маніпулює внутрішньою поведінкою PHP. Такі запобіжні заходи можуть допомогти, але вирішальним засобом є виправлення самого вразливого програмного забезпечення.

Основна проблема полягає не лише в технічних знаннях. Це організаційна дисципліна. Багато катастроф безпеки трапляються через те, що хтось відклав оновлення, забув про застарілий сервер, не встановив відповідальності за обслуговування системи або припустив, що хостингова компанія займається питаннями, про які ніхто прямо не просив її вирішити.

У кібербезпеці вражаючі провали часто починаються з надзвичайно звичайних форм недбалості.

Глибша проблема з інтернетом

Справа з PHP також розкриває дещо неприємне щодо економічних основ сучасного інтернету. Значна частина програмного забезпечення, що підтримує глобальну комерцію, державне управління та особисті комунікації, підтримується напрочуд невеликими групами високоспеціалізованих розробників. Ці люди виконують роботу величезного суспільного значення, часто без ресурсів, які б навіть віддалено могли порівняти з комерційною цінністю систем, що від них залежать.

PHP — це проект з відкритим вихідним кодом, що означає, що його базовий програмний код є загальнодоступним і може бути перевірений та вдосконалений іншими. Це призвело до вражаючих інновацій та дозволило незліченній кількості малих підприємств, незалежних видавців та благодійних організацій створити присутність в Інтернеті за відносно низькою ціною. Але це також створило незручну проблему колективної відповідальності.

Коли мільйони організацій отримують вигоду від спільної технологічної основи, кожна з них має стимул припускати, що хтось інший платитиме за її утримання. Результатом може стати важливе суспільне благо, яке підтримується відносно невеликою кількістю експертів, що працюють за постійних обмежень. Тому визнання Фондом PHP того, що недостатні ресурси та повільне прийняття рішень сприяли затримці усунення основної слабкості, є особливо важливим.

Цей урок виходить далеко за рамки PHP. Уряди та великі комерційні організації дедалі більше залежать від програмного забезпечення, яким вони не володіють і яке належним чином не розуміють. Вони можуть витрачати статки на складні цифрові сервіси, приділяючи порівняно мало уваги маловідомим бібліотекам програмування та інфраструктурі, від яких ці сервіси залежать.

Якщо сучасний світ бажає уникнути повторних криз такого роду, йому, можливо, доведеться ставитися до обслуговування критично важливого програмного забезпечення так само, як до обслуговування доріг, мостів та електромереж. Безпека не може залежати виключно від екстреного втручання після того, як дефект став достатньо небезпечним, щоб привернути увагу міжнародних ЗМІ.

Наскільки нам слід хвилюватися?

Ми повинні бути досить стурбовані, але не лякатися. PHP2Shell являє собою справді критичну проблему безпеки, оскільки він впливає на фундаментальний компонент величезної кількості веб-сайтів, оскільки було продемонстровано практичне використання цієї шкідливої програми, а також тому, що зловмисникам можуть не знадобитися звичайні облікові дані для входу, щоб отримати доступ до вразливих систем. Той факт, що спробу експлуатації було виявлено до публічного розкриття інформації, додає терміновості ситуації.

Тим не менш, існування вразливості не доводить, що кожен уражений веб-сайт був скомпрометований. Оновлення безпеки доступні, відповідальні хостингові компанії застосовують їх, а численні захисні заходи можуть зменшити наслідки вторгнення. Не слід плутати найгірші можливі результати з найімовірнішими для кожної окремої організації.

Безпосередня небезпека найбільша для систем, які залишаються підключеними до публічного Інтернету, водночас використовуючи вразливе програмне забезпечення, особливо там, де вони містять цінну інформацію або надають доступ до інших важливих систем. Для звичайних користувачів Інтернету найрозумнішою реакцією є очікування від установ, які зберігають їхню інформацію, вжиття відповідних запобіжних заходів безпеки, а не відмова від онлайн-сервісів в загальній атмосфері тривоги.

Щоразу, коли кіберкриза привертає широку увагу, виникає спокуса уявити, що інтернет ось-ось зазнає краху. Насправді інтернет завжди був недосконалим набором технологій, що підтримуються людьми, схильними до помилок. Його стійкість частково випливає зі здатності виявляти помилки, поширювати попередження та виправляти недоліки до того, як їхні наслідки стануть некерованими.

Відмінною особливістю цього епізоду є те, що штучний інтелект може прискорювати обидві сторони цього процесу. Він допомагає виявляти слабкі місця, які люди-дослідники пропустили, але також може полегшити використання цих слабких місць зловмисниками. Чи буде баланс зрештою на користь безпеки чи небезпеки, залежатиме не стільки від інтелекту машин, скільки від компетентності людських інституцій, відповідальних за їх розгортання.

Таким чином, PHP2Shell не є незначною помилкою програмування і не кінцем цифрового світу. Це серйозне попередження про крихкість технологічних систем, від яких цивілізація стала майже недбало залежною. Машини можуть бути надзвичайно складними, але їхня безпека все ще залежить від людей, які помічають дефекти, беруть на себе відповідальність і беруться за нецікаву справу виправлення проблем.

Можливо, це найзаспокійливіший аспект цієї інакше тривожної справи. Інтернет не став неконтрольованим лише тому, що хтось виявив недолік у його механізмі. Нам навпаки нагадали, що, якими б складними не були наші технології, остаточна відповідальність за їх підтримку вперто залишається людською.