21 октября разработчики PHP — языка, на котором работает примерно 70% сайтов интернета — экстренно закрыли две дыры в его защите. Обе уязвимости позволяют злоумышленнику выполнить свой код на сервере без ввода пароля, что эксперты оценивают как критический уровень опасности.
Что случилось
Первые признаки проблемы обнаружили еще в 2024 году во время аудита безопасности PHP. Тогда исследователи не смогли подтвердить, что уязвимость можно использовать для атаки, и работа над исправлением затянулась на месяцы. Позже PHP Foundation признала, что команда слишком долго не могла согласовать решение и ей не хватало специалистов.
В августе 2026 года исследователи Calif обнаружили, что уязвимость позволяет выполнять чужой код на сервере без авторизации. К тому же выводу независимо пришли OpenAI и Wiz. В исследовании помогали инструменты на базе ИИ, но исправления готовили разработчики PHP.
Читайте также: ИИ становится защитой и оружием одновременно: зачем Белый дом запускает Gold Eagle
Изначально публикацию обновлений назначили на 22 октября, чтобы разработчики сайтов и поставщики ПО успели подготовиться. Но 20 октября идентификаторы уязвимостей появились в соцсетях и на форумах вместе с неверной датой релиза и завышенной оценкой критичности. Позже Calif случайно опубликовала видео, демонстрирующее атаку. Его удалили, но копии быстро разошлись по сети.
Ситуацию осложнила Chainguard, компания, выпускающая защищенные версии программного обеспечения: за шесть часов до официального релиза она опубликовала образы PHP с исправлениями. Это позволило атакующим изучить патч еще до выхода обновлений для остальных пользователей.
21 октября разработчики PHP выпустили сразу четыре патча — для всех поддерживаемых версий языка. Уязвимыми оказались все выпуски примерно за последнее десятилетие, то есть почти весь интернет на PHP. Для давно не обновлявшихся сайтов команда впервые за годы выложила исправления и для старых версий, которые официально больше не поддерживаются. Еще более древним сайтам помощи не будет — их владельцам придется переезжать на новые версии.
Дон Смит (Don Smith) из Sophos считает, что сейчас главная проблема — поиск всех уязвимых систем. PHP может быть «спрятан» внутри CMS, хостинговых панелей и сторонних продуктов, и организации часто не знают, где он у них работает.
«Число мест, где приходится искать уязвимые версии PHP, растет очень быстро», — вторит Джон Хэммонд (John Hammond) из Huntress.
Почему это касается крипторынка
Уязвимости PHP не связаны напрямую с блокчейнами и смарт-контрактами, но это не значит, что криптопроекты находятся вне зоны риска. Биржи, кошельки и другие Web3-сервисы используют обычные сайты и серверы, которые тоже могут работать на уязвимом ПО. Если злоумышленник получает контроль над таким сервером, он потенциально может добраться до пользовательских данных или вмешаться в работу сервиса — даже если сам блокчейн работает штатно.
Шахак Шалев (Shahak Shalev), глава направления исследований мошенничества и ИИ в Malwarebytes, отмечает: захваченные доверенные сайты позволяют рассылать фишинг и раздавать вредоносные файлы под видом легитимного ресурса.
«Это золотая жила для хакеров», — предупредил он.
Аудит смарт-контрактов не защищает от проблем в остальной инфраструктуре. Уязвимость может находиться не в коде контракта, а в сайте, через который пользователь взаимодействует с ним. Поэтому сейчас важно не только установить обновления, но и проверить, как криптобиржи и другие платформы реагируют на угрозу.
Что делать пользователям
Самостоятельно исправить уязвимость PHP на чужом сервере нельзя — это задача владельца сайта или его хостинг-провайдера. Но пока компании проверяют свою инфраструктуру, пользователям стоит внимательнее относиться к безопасности аккаунтов.
Основатель Binance Чанпэн Чжао (Changpeng Zhao), известный как CZ, посоветовал пользователям быть осторожнее с сайтами в ближайшие дни: не все администраторы успевают устанавливать обновления, а взломанный ресурс может украсть учетные данные или заразить устройство.
«Оставайтесь в SAFU», — написал он.
Не переходи по ссылкам на криптосервисы из подозрительных сообщений, проверяй адрес сайта перед подключением кошелька и не подтверждай незнакомые транзакции. Если биржа или другой сервис сообщит об инциденте, следуй его официальным рекомендациям. При этом сама по себе уязвимость PHP не означает, что твой аккаунт или кошелек уже скомпрометирован: подтвержденных признаков взлома конкретного сервиса нужно искать отдельно.
Комментарий редакции
Эта история показывает, что даже защищенный блокчейн не гарантирует безопасности всего, что с ним связано. Web3-проекты взаимодействуют с централизованным интернетом, используют обычные сайты и серверы, в которых тоже бывают критические уязвимости. И следующая угроза может прийти не со стороны смарт-контрактов, а через эти связующие звенья.
Криптобиржи находятся под ударом, несмотря на аудиты и защищенные смарт-контракты. Теперь важно посмотреть, как они и другие Web3-проекты отреагируют на угрозу. Общих рекомендаций пользователям быть осторожнее недостаточно — нужны реальные меры безопасности на стороне компаний.
В обнаружении уязвимостей помог и ИИ: об этом сообщили OpenAI и Google. Но выпустить патч недостаточно — нужно обновить уязвимые системы на серверах и убедиться, что исправления применены. Возможно, этот инцидент в итоге приведет к усилению кибербезопасности и повышению устойчивости к подобным уязвимостям.
Данный пост носит исключительно информационный характер и не является рекламой или инвестиционным советом. Пожалуйста, проводите собственное исследование, принимая какие-либо решения.