21 октября в PHP раскрыли две критические уязвимости PHP2Shelli, позволявшие без авторизации удалённо выполнять код на сервере. Ошибки находились в самом языке, поэтому обновления сайтов и их CMS недостаточно: исправлять нужно PHP на серверах. После раскрытия уязвимостей организации по всему миру временно отключали ресурсы, а Cloudflare сообщила о миллионах попыток атак.

Уязвимости существовали много лет, но превратить их в рабочий способ взлома помог ИИ: GPT-5.6 Sol участвовала в обнаружении одной из них, а Wiz сообщила о независимом обнаружении с помощью ИИ. Патчи выпустили 21 октября, однако к 27 октября уже появились подтверждения успешных взломов; остаются под риском серверы, которые не обновили.

• Уязвимостям присвоены идентификаторы CVE-2026-109618 и CVE-2026-109619; обе получили оценку 9,2 из 10 по CVSS 4.0i. По описанию e/acc, первая связана с OOM-corruption, вторая — со stale global state (UAF).
• Команда PHP выпустила исправления для версий 8.5.12, 8.4.27, 8.3.36 и 8.2.35. По сообщениям источников, PHP 8.1 и более старые ветки обновлений не получили.
• В Нидерландах временно отключали сайты Национального центра кибербезопасности, порт Роттердама, Overheid.nl, KNVB, пяти крупнейших политических партий и больниц; во Франции отключали сайты местных органов власти, в Финляндии — государственные сетевые сервисы. Reuters также сообщал об отключениях в Дании.
• Cloudflare сообщила о первых попытках атак ещё до выпуска патчей, а 22 октября — о миллионах попыток взлома. В России «Битрикс24» и Beget временно ограничивали часть функций.
• Адель Карими зафиксировал успешный взлом сервера с Apache mod_phpi и PHP 8.4.26: атакующий извлёк данные из памяти и запустил команду через 1,6 мс после запроса.
• По данным W3Techs, PHP используют 69,3% сайтов, для которых удалось определить серверный язык. По публикациям о раскрытии уязвимостей, их исправление готовили около двух месяцев в рамках инициативы Patch the Planet с участием Calif, Wiz, Cloudflare, CISA и Белого дома.