Безопасность 22 октября 2026, 17:59 МСК

Две критические уязвимости в PHP привели к сбоям сайтов и ограничениям у хостеров

Две критические уязвимости в PHP, присутствующие в нём около 20 лет, вынудили часть сайтов уйти в офлайн, а хостинг «Рег.ру» временно заблокировал загрузку файлов.

Разработчики PHP выпустили патчи для двух уязвимостей с оценкой severity 9,2 из 10. По данным watchTowr, это уязвимости удалённого выполнения кода, затрагивающие все версии начиная с PHP 5: атакующие могут запускать свой код на серверах, менять сайты и красть данные. Агентство NSA и британский NCSC рекомендовали отключать системы, если оперативное обновление невозможно. По сообщениям The Verge, из-за проблем были недоступны 4chan, DeviantArt, часть государственных сайтов в Нидерландах и Финляндии, а также Pokémon Home.

По словам главы Cloudflare Мэттью Принса, за 10 часов до публичного объявления компания зафиксировала тысячи попыток эксплуатации, в течение двух часов после — сотни тысяч, а к вечеру — миллионы. Wiz называет уязвимости одними из самых серьёзных в истории ПО. Ошибка существовала давно, но её эксплуатация требовала крайне сложной цепочки действий; мощные ИИ-модели упростили такую работу. OpenAI сообщила, что исследователь Calif использовал GPT-5.6 Sol, чтобы найти уязвимости раньше злоумышленников.

Проблема коснулась и неподдерживаемых версий: две старые японские мобильные игры World Quest и Save My Demonic World закрываются, поскольку их нельзя обновить. В России «Рег.ру» временно ограничил загрузку файлов через панель управления — пользователи видят ошибку 403, о чём сообщил «Коммерсантъ». Поддержка компании объяснила, что мера временная и нужна для защиты сайтов клиентов.

• Оценка severity — 9,2 из 10, затронуты версии с PHP 5
• Cloudflare: от тысяч до миллионов попыток атак за считаные часы
• «Рег.ру» временно блокирует загрузку файлов, ошибка 403