Серьёзная ошибка в языке программирования PHP побудила руководителей в сфере кибербезопасности предупредить о «цунами уязвимостей», согласно репортажу The Guardian, опубликованному 23 октября 2026 года. Предупреждения, которые некоторые эксперты назвали «Чёрным октябрём», указывают на новую эпоху, в которой искусственный интеллект помогает злоумышленникам находить и использовать программные уязвимости быстрее, чем раньше. Эта история об уязвимости PHP, используемой для хакерских атак с помощью ИИ, на первый взгляд техническая, но её последствия затрагивают обычных людей, которые просто каждый день пользуются сайтами.

Что говорят об ошибке в PHP и предупреждениях о «Чёрном октябре»

PHP — это бесплатный язык с открытым исходным кодом, на котором работает очень большая доля веба. В материалах об этой уязвимости приводится цифра: около 70% сайтов по всему миру используют PHP, поэтому потенциальная подверженность риску привлекла столько внимания. В сообщениях говорится, что уязвимости позволяют выполнять удалённый код без аутентификации. Простыми словами, злоумышленник потенциально может взять под контроль затронутый сервер, не нуждаясь в пароле.

Стоит сохранять перспективу в отношении цифр. Некоторые технические комментаторы отметили, что, хотя ошибка серьёзная, громкое утверждение, будто «затронуто 70% интернета», преувеличивает ситуацию. PHP широко используется, но не каждый сайт работает в уязвимой конфигурации. В сообщениях также отмечается, что исправления безопасности выпущены и что команда участников PHP Foundation, как сообщается, потратила около двух месяцев на работу над патчем.

Материал The Guardian сосредоточен на реакции руководителей в сфере безопасности. Их беспокоит не столько эта отдельная ошибка, сколько то, на что она указывает: грядущий поток обнаруженных уязвимостей, который они описывают как «цунами уязвимостей».

Как ИИ ускоряет обнаружение и эксплуатацию ошибок

В нескольких сообщениях об уязвимостях PHP говорится, что инструменты ИИ помогли их обнаружить. Это важно, потому что поиск серьёзной ошибки традиционно требует от квалифицированных исследователей очень много времени. Автоматизированные системы могут читать огромные объёмы кода, отмечать подозрительные шаблоны и проверять идеи круглосуточно.

Тревога связана с сокращением разрыва между тремя этапами:

  • Обнаружение: инструмент с поддержкой ИИ находит ошибку в широко используемом коде.
  • Раскрытие и патчинг: сопровождающим нужно время, чтобы понять проблему, исправить её и выпустить обновление.
  • Эксплуатация: злоумышленники, которые могут использовать такие же инструменты, создают рабочие атаки.

Когда обнаружение ускоряется, а патчинг по-прежнему зависит от человеческих команд, окно, в котором ошибка уже известна, но ещё не исправлена на реальных сайтах, может расти. Именно в этом окне и происходит вред. Владельцам сайтов затем приходится быстро применять обновления, и многие не делают этого сразу.

Это не уникально только для защитников или только для атакующих. Одна и та же технология может помочь сопровождающим находить и исправлять ошибки раньше преступников. Предупреждение руководителей состоит в том, что объём обнаружений может перегрузить людей, ответственных за патчинг.

Как скомпрометированные сайты подвергают риску обычных пользователей

Вам не нужно запускать сервер PHP, чтобы пострадать от ошибки в PHP. Если сайт, которым вы пользуетесь, скомпрометирован, злоумышленники могут получить foothold на инфраструктуре, которой вы доверяете. В зависимости от того, что делает сайт, риски могут включать:

  • Кража учётных данных: злоумышленники могут перехватывать логины и пароли, введённые на скомпрометированном сайте, а затем пробовать их на других сервисах.
  • Подмена страниц: захваченный сайт можно изменить так, чтобы он показывал поддельные формы входа или подталкивал к загрузке вредоносных файлов.
  • Убедительный фишинг: ссылки и сообщения, которые выглядят как пришедшие со знакомого сайта, могут вести в опасное место.
  • Утечка персональных данных: сайты, хранящие информацию о клиентах, могут раскрыть её, если злоумышленники получат доступ.

Ключевой момент в том, что название и адрес сайта могут выглядеть совершенно нормально. Скомпрометированный легитимный сайт может быть более убедительным, чем очевидная подделка, потому что обычные визуальные признаки доверия всё ещё на месте.

Если вы хотите понять, как утёкшие персональные данные могут распространяться после взлома организации, наш материал об утечке в Unlimited Technology Systems, затронувшей 3,8 млн пациентов показывает, какого масштаба могут достигать такие инциденты.

Что это значит для вас

Вы не можете пропатчить сайт, которым не владеете, поэтому практическая цель — ограничить ущерб, если один из сайтов, которыми вы пользуетесь, будет скомпрометирован. Ваши собственные устройства и аккаунты — это та часть, которую вы контролируете. Быстро развивающиеся угрозы вознаграждают простые привычки, выполняемые последовательно, а не сложные настройки.

Также помогает сохранять спокойствие. Серьёзная ошибка и громкое предупреждение не означают, что ваши аккаунты уже скомпрометированы. Они означают, что базовые меры важны как никогда.

Что вы можете сделать: обновления, надёжные пароли, 2FA и осведомлённость о фишинге

Обновите всё сейчас. Установите последние обновления для вашей операционной системы, браузера и приложений и включите автоматические обновления, где это возможно. Многие атаки удаются потому, что исправление существовало, но не было применено.

Используйте уникальные пароли. Если один сайт скомпрометирован, а вы использовали тот же пароль, злоумышленники могут попробовать его в других местах. Менеджер паролей делает реалистичным использование уникальных надёжных паролей для каждого аккаунта.

Включите двухфакторную аутентификацию (2FA). Даже если пароль украден, второй фактор может помешать злоумышленнику войти. В первую очередь защитите электронную почту, банковские сервисы и любые аккаунты, через которые можно сбросить другие аккаунты.

Относитесь к неожиданным ссылкам с подозрением. Если электронное письмо, текстовое сообщение или иное сообщение содержит ссылку, которую вы не ожидали, даже с сайта, которому вы обычно доверяете, не нажимайте на неё. Перейдите на сайт, введя адрес вручную или используя закладку, и проверьте, нет ли необычных запросов на вход или загрузку.

Следите за своими аккаунтами. Просматривайте оповещения о входах и активность аккаунта и promptly меняйте пароли, если сервис, которым вы пользуетесь, объявляет об инциденте безопасности.

Главное

История об уязвимости PHP, используемой для хакерских атак с помощью ИИ, напоминает, что программные ошибки обнаруживаются и эксплуатируются быстрее. Вы не можете контролировать, как быстро владелец сайта выпустит патч, но вы можете контролировать собственную подверженность риску. Обновите ваши операционные системы, браузеры и приложения сегодня, включите 2FA с уникальными паролями, хранящимися в менеджере паролей, и дважды подумайте, прежде чем нажимать на неожиданные ссылки, даже если они выглядят как пришедшие с сайта, которому вы доверяете.