Критична вада в PHP: проблему знали 2 роки, а тепер її масово експлуатують
Розбір інциденту показав: про критичну уразливість у PHP знала невелика команда мейнтейнерів ще два роки тому, а тепер ланцюжковий експлойт PHP2Shell б’є по серверах.
На тижні 19 жовтня 2026 OpenAI GPT 5.6-Sol виявив критичні уразливості в PHP. Як випливає з постмортему, невелика група мейнтейнерів була в курсі проблеми ще два роки тому, але публічно її не розкривала, і тепер новий ланцюжковий експлойт PHP2Shell активно вражає сервери.
Що сталося
За даними Tom's Hardware, знайдені діри дають змогу віддаленого виконання коду за наявності достатніх знань у зловмисника. Це зачіпає одну з найпоширеніших технологій інтернету: PHP використовується приблизно на 70% сайтів.
Чому наслідки такі масштабні
Ситуацію загострило те, що, коли проблема стала публічною, близько 73% інсталяцій PHP в інтернеті працювали на версіях зі статусом end-of-life без активної підтримки. Це створило ідеальні умови для масових зломів за допомогою PHP2Shell.
Роль штучного інтелекту
Автор розслідування наголошує: агентні системи штучного інтелекту різко прискорили пошук вразливостей, фактично знецінивши традиційне 90-денне вікно розкриття. PHP просто опинився в прицілі таких баг-хантерів.
Що пішло не так
Постмортем описує не лише технічну ваду, а й системну проблему — загальну самозаспокоєність екосистеми. Попри відомості про баг у вузького кола мейнтейнерів, масовий ландшафт застарілих інсталяцій зробив вибуховим будь-який публічний витік інформації.
Контекст і суперечності
У матеріалі немає технічних деталей експлойту, проте підкреслено, що поєднання віддаленого виконання коду та великої частки EOL-версій забезпечило масштабність інциденту. Висновок автора: головна проблема — не сама уразливість, а недбале ставлення до оновлень у спільноті.
