Интернет се размина на косъм от потенциално опустошителна криза в киберсигурността, след като експерти откриха критични уязвимости в PHP: една от технологиите, върху които се гради голяма част от глобалната мрежа.

Пропуските, обединени под общото наименование PHP2Shell, биха могли да позволят на хакери да изпълняват зловреден код върху уязвими сървъри дистанционно, без да е необходима автентикация.

Кризата беше свързана с две критични уязвимости от типа "отдалечено изпълнение на код" (RCE) в PHP – програмен език, който стои в основата на около 70% от уебсайтовете в света, включително мащабни платформи за съдържание, корпоративни системи и портали на публичния сектор.

Тези "дупки" с идентификатори CVE-2026-109618 и CVE-2026-109619 и наричани общо PHP2Shell, включваха сложни проблеми, свързани с нарушаване на целостта на паметта, като например грешки при обработката на ситуации с недостиг на памет и запазване на остарели данни в глобалното състояние на системата. На практика това може да означава получаване на достъп до основната система на уебсайт, кражба на информация, промяна на съдържанието, инсталиране на зловреден софтуер или използване на компрометирания сървър като отправна точка за други атаки.

Най-важното е, че тези уязвимости не бяха дело на нов код. Одити за сигурност и експерти по киберсигурност разкриха, че основните слабости са се намирали в кодовата база на PHP повече от десетилетие. Години наред те са били третирани като ниско ниво на проблеми с паметта или теоретични любопитни факти.

Защо? Защото превръщането им в работеща, надеждна отдалечена експлойт уязвимост изисква преодоляване на сериозни предизвикателства. Експертите по човешка сигурност изчисляват, че квалифициран екип ще се нуждае от месеци старателни, ръчни проби и грешки, за да разбере как да принуди кода да влезе в злонамерено състояние, без да срине сървъра.

Всичко това се промени, когато към решаването на проблема бяха насочени усъвършенствани модели на изкуствен интелект. Използвайки AI за картографиране на сложни структури в паметта, управление на виртуални среди за тестване и създаване на специализирани скриптове, експертите успяват да преодолеят предизвикателството само за броени дни. Онова, което някога бе практически невъзможно за ефективно превръщане в оръжие от човешкия ум, се превърна в елементарна задача за работен процес на изкуствен интелект.

PHP Foundation координира отстраняването на проблемите и на 21 октомври 2026 г. пусна актуализации за сигурността за поддържаните версии на PHP. Публичното оповестяване обаче бе последвано от вълна от опити за експлоатация. От Cloudflare съобщиха за милиони такива опити в рамките на няколко часа, докато Amazon Web Services засече подозрителна активност, насочена към "сървър-примамка", още на 17 октомври, преди уязвимостите да бъдат публично разкрити. Опитите не означават автоматично успешни компрометирания. Въпреки това, последващи доклади разкриха злонамерена активност, свързана с уязвимостите, което показва, че опасността не е била само теоретична.

На косъм от онлайн катастрофа

Опасността от срива на PHP се крие в неговата повсеместност и естеството на недостатъка. Тъй като PHP е в огромното мнозинство уеб приложения по целия свят, уязвимост, позволяваща дистанционно изпълнение на код без удостоверяване, означава, че хакерите теоретично биха могли да поемат контрола над уеб сървърите дистанционно, без да е необходима парола. 

Първият проблем е мащабът. Уязвимост, засягаща слабо известно приложение, може да застраши ограничен брой организации. Слабост в основополагаща технология, каквато е PHP, потенциално може да засегне уебсайтове, онлайн магазини, бизнес системи и обществени услуги по целия свят.

Вторият проблем е потенциалното ниво на достъп. "Отдалеченото изпълнение на код" (remote code execution) е сред най-сериозните категории софтуерни уязвимости, тъй като позволява на нападателя да накара сървъра да изпълнява команди по негов избор. Ако компрометираното приложение има достъп до чувствителни бази данни, файлове или вътрешни системи, последствията могат да бъдат много по-тежки.

Третият проблем е скоростта на експлоатация. Досега на хакерите често са били необходими сериозни технически познания, за да превърнат сложна уязвимост в надежден експлойт. Изкуственият интелект може да помогне при анализа на изходния код, идентифицирането на уязвимости, разбирането на корекциите и автоматизирането на части от процеса на разработка. Това не означава, че един чатбот може самостоятелно да открива и използва всеки софтуерен дефект. Човешката експертиза остава от решаващо значение. AI обаче може да направи сложните задачи по-бързи и по-достъпни за по-широк кръг от нападатели.

В продължение на десетилетия киберсигурността разчиташе на едно успокояващо предположение: сложният софтуер съдържа грешки, но създаването на усъвършенствани експлойти е труден, скъп и отнемащ много време процес. Тази "бариера на сложността" действаше като естествена пречка, предпазваща остарелите системи от мащабни атаки

Изкуственият интелект на практика премахна тази бариера. Той доказа, че може систематично да анализира съществуващи софтуерни системи, да разкрива скрити уязвимости и да генерира конкретните поредици от експлойти, необходими за тяхното компрометиране. Това стеснява времевия прозорец, с който разполагат защитите. След като техническите подробности станат публично достояние, хакерите могат да анализират поправката, за да разберат в какво се е състоял проблемът и бързо да разработят методи за атакуване на системи, които все още не са актуализирани. А и много от фирмите, и потребителите са болезнено известни, че инсталират ъпдейтите веднага.

Какво е направено и какво още е необходимо?

Незабавните мерки включват координирано оповестяване на уязвимости, предоставяне на кръпки за сигурност и отправяне на спешни предупреждения от организации в сферата на киберсигурността. PHP Foundation пусна корекции, а европейските органи по киберсигурност посъветваха организациите да идентифицират засегнатите приложения, да приоритизират системите, достъпни през интернет и да инсталират актуализациите. В случаите, когато незабавното отстраняване на проблема е невъзможно, временното изолиране на уязвимите услуги от публичните мрежи може да намали риска.

Експертите по киберсигурност обаче са единодушни, че коригирането на тези конкретни уязвимости е все едно да се сложи лепенка върху обилно кървяща рана. Поправките отстраняват непосредствените вектори от типа "PHP2Shell", но не решават основния системен проблем.

Организациите трябва да направят опис на инфраструктурата си, да установят кои версии на PHP реално използват и да проверят дали приложения или продукти на трети страни не съдържат уязвими компоненти. Възможно е една компания да не използва съзнателно PHP приложение, но въпреки това да зависи от софтуер, който включва PHP в себе си.

Собствениците на уебсайтове трябва да работят съвместно със своите хостинг доставчици, за да потвърдят, че уязвимите среди са актуализирани. Администраторите следва също така да разследват съмнителна активност, да прегледат логовете и да проверят за признаци на неоторизиран достъп. Инсталирането на корекция предотвратява експлоатирането на уязвимия участък от кода по същия начин, но не премахва автоматично зловредния софтуер и не заличава щетите, причинени от предходна атака.

Самият изкуствен интелект може да бъде част от решението. Екипите по сигурността могат да използват инструменти за автоматизиран анализ на кода, откриване на уязвимости и тестване, за да откриват слабости на по-ранен етап и да проверяват предложените корекции. Тези инструменти обаче изискват квалифициран човешки надзор. Генерираните от изкуствен интелект доклади могат да бъдат неточни, а големият брой резултати с ниско качество може да претовари именно онези екипи, на които да помогнат.

Инцидентът също така разкрива структурен проблем: критично важен софтуер с отворен код често се поддържа от сравнително малки екипи, въпреки че се използва от огромни търговски организации. Устойчивото финансиране, специализираният персонал по сигурността и по-добрата инфраструктура за тестване са също толкова важни, колкото и все по-мощните инструменти, базирани на изкуствен интелект.

Решен ли е проблемът напълно?

Уязвимостите в PHP могат да бъдат отстранени чрез актуализиране на софтуера, но по-мащабният проблем няма да изчезне скоро. Големите организации вероятно разполагат с ресурсите да коригират системите си бързо. За по-малките предприятия, собствениците на отделни уебсайтове и организациите, използващи остаряла инфраструктура, този процес може да отнеме значително повече време. Някои системи зависят от софтуер, който е толкова остарял, че актуализирането му би довело до неизправности в други компоненти. Други пък може изобщо да не получават повече актуализации за сигурност.

Обхватът на уязвимите системи би трябвало постепенно да намалява, но е твърде вероятно някои от тях да останат незащитени в продължение на месеци или дори години. Хакерите постоянно сканират интернет пространството за остарели услуги, а щом се появи работещ експлойт, те могат да продължат да търсят пренебрегнати цели дълго след като първоначалният медиен шум е отминал. Тези уязвими сайтове може да не са популярни и посещавани от много потребители, но пък се превръщат в идеална отправна точка за други атаки и разпространение на вируси.

Малко вероятно е PHP2Shell да бъде последният подобен инцидент. Изследванията в областта на сигурността с AI, вероятно ще разкрият още дълго съществуващи слабости, включително такива, които досега са се смятали за твърде сложни за експлоатиране. Това не е лоша новина: откриването на уязвимости, преди хакерите да са ги намерили, е един от най-добрите начини за подобряване на сигурността.