PHP2Shell: как одна дыра в PHP напугала полмира — и что это значит для нас

Представьте, что фундамент, на котором стоит половина всех сайтов в интернете, внезапно дал трещину. Именно это произошло в конце октября 2026 года, когда в PHP — языке программирования, на котором работает огромная часть сайтов, госуслуг и банковских порталов — нашли критическую уязвимость под названием PHP2Shell. Оценка опасности — 9,2 из 10. Проще говоря: почти максимальный балл. Шум в итоге получился на половину планеты.

Что вообще произошло

21 октября разработчики PHP выпустили экстренное обновление. Дыра оказалась настолько серьёзной, что защититься от неё не помогало даже аккуратно написанное приложение — проблема была в самом «движке» PHP, а не в конкретном сайте. Это как если бы замок был хороший, но дверь сломалась вместе с петлями.

Дальше события понеслись стремительно.

Нидерланды в качестве меры предосторожности отключили национальную систему цифровой идентификации DigiD, портал госуслуг, сайт парламента, порт Роттердама и часть больничных и транспортных сервисов. Япония на несколько часов приостановила работу налоговой службы, а следом — сайты Минфина и крупных компаний вроде Nomura, MUFG и ANA. Россия через ФСБ разослала директиву: кто не может срочно обновить PHP — физически закройте доступ к своим серверам из интернета.

Показательная деталь: даже сами хакеры испугались. В среду, 21 октября, крупнейшие мировые площадки в даркнете — форумы BreachForums и Dread — добровольно закрылись. Торговцы крадеными базами поняли простую вещь: их собственные серверы работают на том же дырявом PHP, и конкуренты сейчас вскроют их без всяких паролей.

Почему это серьёзно

Главная проблема PHP2Shell в том, что атака проходит бесшумно. Когда бот выкачивает данные через эту уязвимость, сайт не зависает и не падает. Он спокойно отвечает «200 ОК» и работает дальше. Владелец может месяцами не знать, что его уже обчистили.

А выкачивают из оперативной памяти вещи очень ценные. Пока портал работает, в памяти крутятся данные, которые на жёстком диске хранятся только в зашифрованном виде:

• живые налоговые декларации и реестры возврата НДС;
• списки бенефициаров компаний и трансграничные переводы; сессионные ключи бухгалтеров;
• цифровые «слепки» сессий и ключи двухфакторной аутентификации.

Последнее — самое коварное. Имея такой слепок, хакер не нуждается в вашем пароле и ему не нужно перехватывать СМС. Он просто заходит в систему под видом уже авторизованного чиновника или бизнесмена.

История про «ИИ за два часа»

В сети гуляет версия, что между 23 и 25 октября некий автономный ИИ-агент сам, без участия человека, за два часа взломал внутреннюю сеть европейского министерства — вытащил пароли, обошёл двухфакторную защиту, проложил скрытые каналы и полностью захватил главный сервер. И что почерк указывает на северокорейскую группировку Lazarus.

Однако эта конкретная история в авторитетных источниках прямого подтверждения не нашла. Отчёты упоминают, что скрипты атак могли генерироваться с помощью ИИ и что автоматизация атак растёт. Но утверждение «ИИ за 120 минут взломал министерство, и это точно Lazarus» пока остаётся на уровне непроверенной версии. Возможно, правда, возможно — преувеличение. Держите это в уме.

Россия: ФСБ сказала отключить всё

Это самая жёсткая официальная реакция среди всех стран. Национальный координационный центр по компьютерным инцидентам (НКЦКИ) при ФСБ России 22 октября через систему ГосСОПКА разослал директиву владельцам объектов критической информационной инфраструктуры (государственные органы, финансы, энергетика, транспорт, связь, здравоохранение и др.). В первую очередь требуется обновление PHP до исправленной версии (8.2.35, 8.3.36, 8.4.27 или 8.5.12). При невозможности обновления рассмотреть временное ограничение внешнего доступа к уязвимым веб-серверам вплоть до их отключения. После обновления провести антивирусную проверку серверов, изучить журналы на наличие следов взлома, при обнаружении подозрительной активности сообщить в ГосСОПКА.

Предыстория также показательна: по данным W3Techs, 90,8% русскоязычных сайтов работают на PHP (общемировой показатель — 69,3%). По оценкам Bi.Zone, в российском сегменте интернета около 50 тысяч потенциально уязвимых веб-приложений на PHP. Некоторые российские компании уже предупредили клиентов, «Лаборатория Касперского» и «1С-Битрикс» также опубликовали рекомендации.

Казахстан не потребовал, но рекомендовал

KZ-CERT (Национальная служба реагирования на компьютерные инциденты Казахстана) 22 октября опубликовал официальное предупреждение, подтвердив, что две уязвимости PHP2Shell имеют оценку опасности 9,2/10 и затрагивают WordPress, Laravel, 1C-Bitrix, Magento, Drupal, Joomla и другие платформы. Ключевые рекомендации:

• обновить PHP до 8.5.12, 8.4.27, 8.3.36 или 8.2.35 и перезапустить серверные процессы;
• в качестве временной меры: отключить отслеживание прогресса загрузки, ограничить размер входящих запросов, усилить мониторинг журналов.

При этом KZ-CERT не сообщил о подтверждённых массовых взломах государственных информационных систем, банков или крупных интернет-сервисов Казахстана.

По сравнению с российской директивой об «отключении», предупреждение Казахстана больше ориентировано на «обновление + мониторинг», с более мягким подходом. Упомянутые в вашем предыдущем тексте споры вокруг сайтов на PHP 7.4.33 (ortcom.kz, bolashak.gov.kz) в результатах поиска официального подтверждения или опровержения не получили.

В АО «НИТ» журналистам коротко ответили, что за eGov.kz можно не переживать — там всё защищено. При этом журналисты ресурса Polites News прогнали через внешний сканер 15 крупных казахстанских государственных и квазигосударственных сайтов. По их данным, все пятнадцать работают на PHP. Тринадцать хотя бы скрывают техническую информацию о себе. А два — сайт Службы центральных коммуникаций (ortcom.kz) и сайт стипендии «Болашак» (bolashak.gov.kz) — открыто показывали свою начинку: PHP версии 7.4.33. Поддержка этой версии официально прекращена ещё в ноябре 2022 года, и готового обновления для неё не существует.

Сообщений об официальной реакции Украины, Белоруссии, Узбекистана, Киргизии, Армении и других стран СНГ на PHP2Shell нет. Однако это не означает, что они не отреагировали. Реакция наверняка была. Просто мы не нашли никакой информации об этом.

Что дальше

Если верить той же версии событий, атака началась ещё 17 октября — за четыре дня до выхода обновлений. Значит, все, кто сидел на старых версиях PHP без дорогой многоуровневой защиты, почти неделю стояли с «открытой памятью» перед роем автоматических сканеров.

В Европе и Японии ведомства сами гасили сайты, потому что их защита увидела начавшийся штурм. У нас, судя по всему, рубильник никто не трогал.

Дальше — по классическому сценарию: выкачанные терабайты данных проверяют и упаковывают. Сначала владельцам баз предложат тихо выкупить свои секреты. А всё, за что не заплатят, через пару недель начнёт всплывать в даркнете и в расследованиях.

В общем, уязвимость, как оказалось, реальна и серьёзна. Это подтверждают экстренные меры правительств самых разных стран. История про «ИИ за два часа и Lazarus» пока не подтверждена, а посему относиться к ней стоит как к версии, а не факту. Данные по Казахстану — из одного источника, официальной проверки нет. Но вопрос «а на какой версии PHP сидят казахстанские госсайты?» задать стоит. Самое опасное — бесшумность. Сайт может работать как ни в чём не бывало, а данные уже утекли.

И, наверное, хорошо было бы проверить версию PHP. Если она старая и обновления нет, по всей видимости, следует закрыть доступ из интернета, как и советуют в директиве. Ведь лучше неудобство, чем утечка.