ИИ нашёл дыру в PHP. Европа начала отключать сайты.

Чё в мире творится-то…

21 октября в Европе начали временно отключать государственные сайты и цифровые сервисы. Не из-за хакерской атаки, а чтобы её предотвратить.

Причина — две критические уязвимости в PHP, обнаруженные при участии ИИ. CVE-2026-109618 и CVE-2026-109619.

Ошибки в управлении памятью и обработке сбоев внутри PHP позволяют при определённых условиях выполнять чужой код на сервере. Например, в конфигурации Apache с mod_php один из сценариев вообще не требует авторизации и срабатывает ещё до выполнения кода приложения.

Представьте офисный центр.

Охрана, турникеты, пропуска. Всё серьёзно. А потом выясняется, что через техническое помещение можно попасть внутрь, минуя всю защиту.

Проблема не в арендаторах. Проблема в самом здании. Но самое интересное дальше.

Об одной из ошибок разработчики PHP знали ещё в 2024 году.

Исправление обсуждали, но не могли договориться о безопасном решении. Не хватало людей, а изменения грозили нарушить совместимость.

Сама PHP Foundation впоследствии назвала эту задержку системным провалом.

В августе 2026 года исследователи Calif при помощи модели OpenAI GPT-5.6 Sol смогли продемонстрировать реальную возможность эксплуатации. Независимые исследования OpenAI и Wiz подтвердили опасность.

А 20 октября информация об уязвимостях просочилась в сеть раньше запланированного раскрытия. Начали появляться демонстрации эксплуатации, и некоторые организации предпочли временно отключить сервисы, пока исправления не вышли.

21 октября разработчики PHP выпустили экстренные обновления: 8.5.12, 8.4.27, 8.3.36 и 8.2.35.

Мне во всей этой истории интересно другое.

ИИ ускоряет не только написание кода. Он ускоряет поиск ошибок в программах, которые годами спокойно работают в продакшене. И совершенно не обязательно, что следующий обнаруживший уязвимость захочет сообщить о ней разработчикам.

Поэтому привычное «работает — не трогай» постепенно теряет смысл.

Раньше можно было годами не обновлять систему и надеяться, что никто не найдёт ошибку. Теперь сама система может не меняться годами. А вот возможности тех, кто ищет в ней ошибки, меняются очень быстро.

Источник: PHP Foundation — разбор уязвимостей и хронология событий.