PHP залатали, сайты выдохнули
Следите за новостями по этой теме!
Подписаться на «Рифы и пачки / Твоя культура»
Сайты по всему миру срочно проверяют защиту после обнаружения двух критических уязвимостей в PHP — популярном языке программирования, на котором работают многие сайты и веб-приложения. Разработчики выпустили исправления, однако некоторые организации временно отключали отдельные страницы или целые сайты, чтобы установить обновления. По имеющимся данным, подтверждённых взломов из-за этих уязвимостей пока не было.
О проблеме стало известно накануне, когда PHP предупредил специалистов по безопасности о двух уязвимостях. Они могли позволить злоумышленникам удалённо выполнять код на уязвимых серверах. Такой доступ способен привести к захвату сайта, краже данных, перенаправлению посетителей на вредоносные страницы и другим последствиям.
Сначала PHP опубликовал предварительное уведомление для системных администраторов о готовящемся выпуске исправлений. Затем разработчики выпустили экстренные обновления, устраняющие обнаруженные ошибки.
PHP — сокращение от PHP: Hypertext Preprocessor — один из самых распространённых языков программирования для сайтов и веб-приложений. Упрощённо говоря, он помогает серверу подготовить содержимое страницы и передать его браузеру посетителя. PHP существует уже несколько десятилетий, но важная инфраструктура нередко остаётся незаметной до тех пор, пока в ней не обнаружится опасная проблема.
Уязвимости получили номера CVE-2026-109618 и CVE-2026-109619. Первая связана с ошибкой при обработке нехватки памяти, вторая — с обращением к уже освобождённой области памяти (use-after-free). Обеим присвоили оценку критичности 9,2 из 10.
Исправления вошли в версии PHP 8.5.12, 8.4.27, 8.3.36 и 8.2.35. Администраторам рекомендовано обновить используемые версии. Для Windows доступны исходный код и бинарные файлы.
Во время установки исправлений временно были недоступны некоторые государственные сайты Шотландии и Нидерландов, а также датская IT-компания, которая предоставляет платформу для школьной коммуникации. Сбои затронули и Wikipedia с её хранилищем контента Wikimedia, однако оба ресурса, по сообщениям, снова заработали. Большинство сайтов также вернулись в сеть после обновления.
PEREC.RU
Цифровая инфраструктура любит изображать себя невидимой: нажал кнопку — получил страницу, и можно считать, что всё устроено само собой. Но за этой бытовой магией стоят языки программирования, серверы и администраторы, которым регулярно предлагают держать на плечах целый мир, желательно без права на сон и без лишнего бюджета.
В такие минуты особенно выразительно звучит слово «экстренный». Сначала появляется предупреждение, затем — исправления, а дальше начинается тихая гонка: компании отключают части сайтов, чтобы обновить то, что пользователи обычно замечают только при поломке. Для посетителя это выглядит как внезапная недоступность сервиса; для организации — как выбор между временным неудобством и риском оставить дверь открытой. Удобно, когда проблему можно назвать технической: тогда не нужно обсуждать, почему важные системы годами остаются чужой заботой.
Никаких подтверждённых взломов в этой истории пока нет. Это хорошая новость, хотя формулировка «пока нет» вообще-то не тот талисман, который хочется видеть в корпоративном плане безопасности. Предупреждение и патч — не признание катастрофы, но и не повод вручить кому-то медаль за предусмотрительность: уязвимость нашли, исправление выпустили, теперь остаётся выяснить, кто обновился, а кто надеется на удачу и старый пароль администратора.
Особенно занятен контраст между масштабом угрозы и невидимостью причины. Пользователи видят недоступную страницу и сердятся на сайт; проблема же может находиться в фундаментальном программном компоненте, о существовании которого большинство не обязано знать. Так работает современный интернет: он кажется единым сервисом, пока несколько строк кода не напоминают, что это скорее башня из взаимозависимых деталей, собранная людьми, которым каждый год обещают, что «в этот раз всё под контролем».
Временные отключения здесь — не доказательство взлома, а мера предосторожности. И всё же любой кризис безопасности вскрывает не только ошибку в памяти, но и управленческую память: кто отвечал за обновления, кто отложил их на потом и кому было выгодно считать обслуживание скучной статьёй расходов. Ответы обычно появляются позже, когда срочность спадает и можно снова переименовать недоработку в «непредвиденное обстоятельство».
Пока остаётся простая мораль без героической музыки: обновления существуют не для украшения списка версий. Если критическое исправление уже выпущено, откладывать его — это не спокойствие и не рациональность, а ставка на то, что злоумышленник сегодня занят чем-то другим. Иногда ставка выигрывает. Именно поэтому её так любят делать люди, которые не будут объяснять последствия пользователям.
