АНБ та ФБР закликають негайно усунути критичні вразливості у популярному програмному забезпеченні

Світовою спільнотою кібербезпеки пройшла хвиля тривоги через виявлення надкритичних прогалин у системі захисту. Розробники популярної мови програмування PHP оприлюднили термінове попередження із закликом негайно встановити останні оновлення безпеки. Виявлення двох небезпечних системних вразливостей створює загрозу віддаленого виконання довільного коду (Remote Code Execution), що викликає серйозне занепокоєння щодо захищеності мільйонів вебсайтів, корпоративних серверів та хмарних платформ по всьому світу.

Згідно з офіційною документацією розробників, уразливості зареєстровано під ідентифікаторами CVE-2026-109618 та CVE-2026-109619. Проблеми пов'язані з помилками обробки оперативної пам'яті та збереженням застарілого внутрішнього стану системи між окремими веб-запитами. Це дозволяє зловмисникам здійснювати атаки та виконувати шкідливий код на уражених серверах без необхідності проходження автентифікації чи наявності облікових даних.

Статистичний контекст та глобальні ризики

Масштаб використання PHP робить цю загрозу однією з найсерйозніших для цифрової інфраструктури:

• Домінування у веб-сегменті: За даними аналітичних досліджень, мова PHP забезпечує роботу приблизно 77.4% усіх вебсайтів із відомою серверною мовою, включаючи такі популярні системи, як WordPress, Drupal та Joomla.

• Величезна площа атаки: Понад 62% корпоративних веб-додатків використовують застарілі або незахищені версії PHP, що суттєво підвищує ризик успішної реалізації атак типу Zero-Day.

• Фінансові збитки від кібератак: Згідно із звітом IBM про вартість витоків даних, середня ціна корпоративного інциденту, спричиненого неусунутими вразливостями програмного забезпечення, становить понад 4.88 мільйона доларів США.

• Швидкість реакції хакерів: Автоматизоване сканування мережі зловмисниками розпочинається вже через 15 хвилин після публікації інформації про нові CVE.

• Масштабний вплив на сервіси: Будь-який великий портал чи сучасна соціальна мережа, що використовує PHP для обробки запитів користувачів, потрапляє у зону підвищеного ризику до моменту повного оновлення.

Рекомендації розвідувальних органів: Директиви АНБ та ФБР

Зважаючи на масштаби потенційної загрози, до попереджень залучилися провідні американські спецслужби. Агентство національної безпеки США (АНБ) опублікувало терміновий консультативний висновок, наголошуючи, що дані помилки дають хакерам прямий доступ до файлової системи серверів та баз даних.

"Ці вразливості часто надають прямий шлях до файлової системи сервера або бази даних. Якщо негайне оновлення неможливе, організаціям рекомендується відключити систему від мережі до повного усунення ризиків."

— З офіційного роз'яснення Агентства національної безпеки (АНБ)

Паралельно з цим, Кіберпідрозділ ФБР дав чіткі інструкції для комерційних та державних організацій:

1. Повна інвентаризація: Негайно провести аудит усіх серверів та хмарних інфраструктур, де використовується PHP.

2. Пріоритетне оновлення: Першочергово оновити веб-сервери, що мають прямий вихід в інтернет, а також сторонні продукти, що містять PHP у своєму складі.

3. Моніторинг аномалій: Забезпечити постійний контроль за веб-серверами на предмет підозрілої активності, зокрема відстежувати випадки, коли процеси PHP несанкціоновано запускають командні оболонки (/bin/sh, cmd.exe) або завантажують сторонні файли.

Штучний інтелект на варті кібербезпеки: Ініціатива OpenAI

Важливим етапом у виявленні цієї загрози стало використання штучного інтелекту. Компанія OpenAI заявила, що її мовні моделі допомогли дослідникам знайти та проаналізувати ці вразливості в межах глобальної ініціативи Patch the Planet, яка об'єднує розробників відкритого коду, експертів із безпеки та постачальників рішень.

Оскільки усунення помилок вимагало внесення складних структурних змін у самий рушій PHP, процес підготовки виправлень тривав два місяці. Це дозволило розробити та протестувати патчі до моменту публічного розкриття інформації, мінімізувавши час, протягом якого системи залишалися беззахисними.

Фахівці з кібербезпеки закликають системних адміністраторів не зволікати та якнайшвидше застосувати офіційні оновлення.