Две критични ранливости во PHP, една од основните технологии на современиот веб, предизвикаа итна безбедносна реакција ширум светот. Владини институции, компании и оператори на онлајн услуги привремено исклучуваа системи додека администраторите ги подготвуваа неопходните надградби. Безбедносните закрпи беа објавени на 21 октомври, по откритија во кои значајна улога имаа алатки со вештачка интелигенција.
Случајот, познат како PHP2Shell, покажува како AI ја менува сајбер-безбедноста. Долгогодишни софтверски слабости, чие практично искористување барало исклучително сложена работа, сега можат побрзо да се претворат во функционални напади. За организациите, времето за реакција станува сè поважен дел од заштитата.
Пропусти во самото PHP, со последици за целиот екосистем
Ранливостите CVE-2026-109618 и CVE-2026-109619 имаат критична оценка од 9,2 според CVSS. Тие се наоѓаат во механизмите за управување со меморијата и обработка на грешки во PHP и, под одредени услови, овозможуваат извршување код на серверот без претходна автентикација.
Кај првата ранливост, грешка при исцрпување на меморијата може да остави делумно иницијализирани податоци што системот подоцна ги третира како валидни. Кај втората, внатрешни референци можат да преживеат откако меморијата кон која покажуваат веќе е ослободена. Последователната обработка на барања може да ја искористи оваа неправилна состојба. Официјалното PHP-известување ги објаснува засегнатите конфигурации и исправките.
Според истражувањето на Wiz, засегнати се верзии што датираат уште од PHP 5.4. Истражувачите демонстрирале напади врз апликации како WordPress, Drupal и Joomla. Потенцијалните последици вклучуваат преземање контрола врз серверот и откривање чувствителни податоци од меморијата, меѓу кои лозинки, токени и API-клучеви.
Тоа значи дека дури и веб-страница со уредно одржуван апликациски код може да биде изложена ако PHP-опкружувањето остане ранливо.
Превентивното исклучување како мерка за заштита
Според Reuters, владини веб-страници во Холандија, Франција, Данска и Финска биле меѓу системите што привремено биле исклучени. Холандската агенција за сајбер-безбедност превентивно го исклучила и сопствениот сајт. Wikimedia соопштила дека повлекла дел од системите додека не бидат безбедно ажурирани, а Internet Archive исто така имал краткотраен прекин.
Ваквата недостапност сама по себе не потврдува успешен упад. За организациите што не можат веднаш да применат исправка, привременото прекинување на јавниот пристап го намалува ризикот додека трае интервенцијата.
Сепак, обиди за напад веќе се забележани. Cloudflare објави дека детектирала напаѓачки сообраќај насочен кон своите корисници, вклучително и менување на барањата за заобиколување на заштитните правила. Компанијата активирала WAF-заштита пред јавното објавување на ранливостите. Овие наоди не утврдуваат колку сервери биле успешно компромитирани.
Каква била улогата на вештачката интелигенција?
Според OpenAI, безбедносната компанија Calif идентификувала критичен пропуст користејќи GPT‑5.6 Sol во рамките на иницијативата Patch the Planet. Wiz независно ги открила и пријавила двете ранливости. Во своето објаснување, Google наведува дека Gemini 4 Argon придонел во откривањето, развојот на експлоатациски техники, детекцијата на напади и проверката на закрпата.
Но, истражувањето барало и конкретно човечко знаење. Во техничкиот извештај на Calif, истражувачот Рајан Остин објаснува дека познавањето на претходните PHP-ранливости му помогнало да ја насочи анализата.
„Ниту еден модел не е способен едноставно да ги открие ‘сите грешки’ со едноставни инструкции. Барем засега“, пишува Остин.
Клучната промена е во брзината со која може да се испитаат сложени сценарија. Wiz наведува дека AI помогнал развојот и приспособувањето на функционални напади да се изведуваат во рок од часови. Тоа ја намалува бариерата што претходно ја создавале потребното време и специјализираното знаење.
Проблемот бил забележан порано, исправката се одложувала
Важен дел од приказната открива PHP Foundation. Првите знаци за проблемот поврзан со исцрпување на меморијата биле идентификувани во 2024 година. Тогаш не бил докажан конкретен пат до извршување код, а предложените исправки носеле ризици за компатибилноста, перформансите или работата на дополнителните компоненти.
Фондацијата признава дека одложувањето било структурен неуспех, поврзан со процесот на одлучување и недостигот од ресурси. Истражувањата во август 2026 година го покажале целосниот ризик и ја направиле исправката врвен приоритет.
Координираното објавување дополнително било нарушено од предвремено циркулирање информации и погрешно објавено демонстрациско видео. Поради тоа, издавањето на закрпите било поместено од 22 на 21 октомври.
Закрпи и за постарите верзии, но достапноста зависи од хостингот
PHP-тимот објави безбедносни изданија 8.5.12, 8.4.27, 8.3.36 и 8.2.35 и повика на итно ажурирање. Поради сериозноста на ранливостите, тимот обезбеди и минимални исправки на изворниот код за PHP 7.4, 8.0 и 8.1, наменети за администратори што сами го компајлираат PHP или немаат пристап до добавувач со продолжена поддршка. Ова е наведено во официјалното безбедносно известување.
За готовите серверски пакети, достапноста зависи од платформата и добавувачот. Според објавата на InMotion Hosting, ажурирана на 21 октомври, cPanel веќе објавил приспособени исправки, односно backports, за своите ea-php пакети 7.4, 8.0 и 8.1. CloudLinux подготвува исправени пакети за сите верзии во својот PHP Selector, вклучувајќи ги и постарите изданија од 5.2 до 8.5. TuxCare, пак, тестира пакети за системите опфатени со неговата продолжена поддршка и најавува нивно објавување по успешната проверка.
Овие исправки не се инсталираат истовремено кај сите корисници. Во инфраструктурата опишана од InMotion, PHP 7.3 и постарите верзии на cPanel без CloudLinux немаат предвидена закрпа преку таа платформа. Затоа сопствениците треба да побараат потврда од хостинг-провајдерот дали за нивниот конкретен PHP-пакет постои исправка и дали таа веќе е инсталирана.
Достапноста на вонредна закрпа не значи обновување на редовната поддршка за старите PHP-гранки. Преминот кон поддржана верзија останува важен, а при планирањето треба да се земе предвид дека и PHP 8.2 ја завршува поддршката на 31 декември 2026 година.
Додека трае надградбата, провајдерите применуваат и привремени ограничувања на ранливите функции. PHP предупредува дека овие мерки блокираат само одредени патишта за напад и не ја заменуваат инсталацијата на исправен PHP-пакет. За веб-страниците што користат WordPress или друг CMS, проверката мора да го опфати и серверското PHP-опкружување.
Анализа: побрзото откривање бара посилен капацитет за одговор
PHP2Shell покажува дека откривањето пропуст и заштитата на целиот екосистем се задачи со различна сложеност. AI може да ја забрза анализата, но исправката мора да биде проверена, приспособена за различни системи и инсталирана кај секој засегнат оператор.
За организациите, тоа ја зголемува важноста на точниот попис на софтверот, јасната одговорност за одржување и способноста брзо да се применат безбедносни надградби. Тим што не знае каде користи PHP тешко може навреме да ја процени својата изложеност.
Случајот ја отвора и темата за одржливоста на софтверот со отворен код. PHP Foundation предупредува дека безбедносната работа зависи од мал број специјализирани инженери. Алатките можат да произведуваат повеќе наоди, но проценката на исправките и нивните последици бара луѓе што длабоко го познаваат системот.
Без соодветно вложување во тој капацитет, побрзото откривање ранливости ќе создава сè поголем притисок врз тимовите задолжени да ги отстранат.
Дискусија
Уште никој не искоментирал на темава, биди прв...