В середине недели мир едва не столкнулся с открытым кризисом в веб‑инфраструктуре: две долгосрочно не замеченные уязвимости в популярном языке PHP оказались пригодны к эксплуатации, что заставило исследователей и индустрию в целом пересмотреть масштаб безопасности. Впервые они получили обозначение PHP2Shell и кодифицировались как CVE-2026-109618 и CVE-2026-109619. По сути, злоумышленники могли проникать в работающие на PHP онлайн‑системы без пароля и изменять данные, что делает угрозу особенно опасной для сайтов и серверов, доступных из сети.

Публичные патчи испустил PHP Foundation в среду, что позволило закрыть дырки и снизить вероятность атак на веб‑серверы, доступные по сети. Организация заранее предоставила часть обновлений крупнейшим интернет‑компаниям и хостинг‑провайдерам, чтобы те успели внедрить исправления до широкого распространения информации.

Событие развернулось на фоне недель интенсивной координации между участниками отрасли. Правительственные органы начали призывать владельцев сайтов принимать меры по снижению рисков, а многие компании временно отключали сайты и сервисы для патча. В банковской, розничной торговле, игровой индустрии, здравоохранении и госструктурах сеть связи во многом была прервана на время обновлений.

Однако эксперты предупреждают: хотя массовая эксплуатация пока не зафиксирована в широком масштабе, существенное число систем по‑прежнему не обновлены и остаются уязвимыми к взлому и кражам данных. Это указывает на то, что риск не исчез в один момент, и последствия могут ощущаться еще долго, особенно в устаревших или долгосрочно обслуживаемых средах.

Сам факт появления и исправления PHP2Shell подчеркивает потенциальную тенденцию: по мере усиления применением искусственного интеллекта растет вероятность обнаружения и использования новых уязвимостей. По данным исследований, характерно, что лишь часть работ по вскрытию багов выполняется людьми, а часть — с поддержкой AI‑моделей, хотя и без возможности полностью заменить человеческий анализ.