Сериозни уязвимости в един от най-широко използваните езици за програмиране в света поставиха под заплаха милиони интернет страници, включително на държавни институции. Вече са регистрирани милиони опити за използване на слабостите, а експертите предупреждават, че хакерите могат да атакуват незащитените системи изключително бързо, включително с помощта на изкуствен интелект.

Българските власти трябва незабавно да проверят дали системите на държавната администрация са защитени, предупреди депутатът от „Демократична България“ и съпредседател на „Да, България“, бивш министър на електронното управление Божидар Божанов.

„Вчера буквално 70% от интернет страниците в света се оказаха уязвими по най-лошия възможен начин: с възможност всеки да изпълни произволен код на сървъра ти и то без да е налично обновление, с което да се затвори дупката“, написа Божанов във Фейсбук.

Става дума за две критични уязвимости в програмния език PHP, известни като PHP2Shell и регистрирани под идентификаторите CVE-2026-109618 и CVE-2026-109619. Те позволяват на нападатели да изпълняват злонамерен код от разстояние върху засегнати сървъри, без да е необходимо да разполагат с потребителско име и парола. Това може да доведе до превземане на интернет страници, кражба на чувствителна информация и използване на компрометираната инфраструктура за нови кибератаки.

Уязвимостите са оценени на 9,2 от максималните 10 точки по международната скала за тежест на пробивите в сигурността.

Милиони опити за атаки, един от тях — от Китай

Хакери вече се опитват целенасочено да откриват и използват уязвимите системи. Според Матю Принс, ръководител на компанията Cloudflare, в световен мащаб са регистрирани милиони опити за експлоатиране на слабостите. Компанията за киберсигурност VulnCheck е проследила един от опитите до IP адрес в Китай, съобщава технологичният портал PCMag.

Още по-тревожни са данните на звеното за киберразузнаване на Amazon. Компанията е установила опит за използване на уязвимостите още на 17 октомври — четири дни преди публичното оповестяване на проблема. Опитът е засечен от системата MadPot, която следи подозрителна активност чрез специално създадени примамки за хакери. Според Amazon атаката е дошла от IP адрес, свързан с услуга за анонимизиране, което поражда съмнения, че извършителят е разполагал предварително с информация за пробива.

Около 70% от интернет страниците по света използват PHP. По данни на службата за киберсигурност Censys близо 55 милиона уебсайта, онлайн магазини, новинарски портали и цифрови бази данни са работили с тази технология в сряда. Това обаче не означава, че всички са уязвими: рискът зависи от използваните версии и от наличието на необходимите актуализации.

ИТ експертът проф. Денис-Кенджи Кипкер определя случая като една от най-сериозните уязвимости в сигурността през последните пет години. По думите му PHP е „невидимият двигател на интернет“ - технология, която стои зад милиони сайтове, от лични блогове до портали на държавни институции. Той предупреждава, че двете слабости могат да се превърнат във входна врата към милиони сървъри.

Германия, Чехия, Великобритания, Белгия изключват държавните сайтове

Заради опасността редица германски институции и общини временно изключиха интернет страниците си. Сред засегнатите са държавни администрации, полицейски служби, университети и болници.

Подобни предпазни мерки бяха предприети и в Чехия. В Нидерландия временно бяха спрени сайтове на държавни институции, включително на националната агенция за киберсигурност, Националния институт за обществено здраве и долната камара на парламента. Ограничения на определени държавни онлайн услуги бяха въведени и във Финландия и Белгия.

Спирането на сайтовете не означава непременно, че те са били успешно атакувани. Целта е да се предотврати евентуално проникване, докато бъдат приложени необходимите поправки.

Предупреждения от Германия, Великобритания и САЩ

Германската Федерална служба за информационна сигурност (BSI) оценява опасността на 9,2 от 10 точки. До момента няма съобщения за потвърдени успешни атаки, но службата предупреждава, че такива могат да се очакват в съвсем кратък срок.

ИТ експертът Кристоф Фишер призова системите, за които все още няма инсталирана актуализация, да не остават свързани с интернет. По думите му всяко незащитено PHP приложение представлява потенциална входна точка за престъпниците. Той предупреждава и за сериозни проблеми със защитата на личните данни, тъй като след евентуално проникване невинаги може да се установи каква информация е била открадната.

Британският Национален център за киберсигурност и американската Агенция за национална сигурност също призоваха организациите незабавно да актуализират системите си. Ако това не е възможно, препоръката е засегнатите системи временно да бъдат изключени от интернет, докато бъдат защитени.

На 21 октомври Европейската комисия, Агенцията на ЕС за киберсигурност (ENISA), Европол и европейските екипи за реагиране при компютърни инциденти също отправиха съвместно предупреждение. Те призоваха организациите да установят кои системи използват PHP и незабавно да приложат актуализациите. Когато това не е възможно, уязвимите приложения трябва временно да бъдат изолирани от публичните мрежи.

Според председателя на парламентарната комисия за контрол на германските разузнавателни служби Марк Хенрихман изкуственият интелект може бързо да превърне уязвимости, смятани доскоро за трудно използваеми, в реални възможности за проникване. Той определи случая като повратен момент в киберзаплахите и предупреди колко уязвими могат да бъдат държавните институции, когато критичен софтуер съдържа неоткрити с години грешки.

Божанов: Десетки държавни сървъри в България може да са застрашени

Божидар Божанов обръща специално внимание на липсата на публична реакция от българските власти. Според него PHP се използва от 65 до 70 процента от интернет страниците по света, включително заради популярната система за управление на съдържание WordPress.

„Следобед се появи извънредна „кръпка“, която системни администратори по цял свят прилагат в последните часове“, съобщава депутатът.

Той посочва, че правителственият екип за реагиране при инциденти (CERT) не е публикувал информация по случая на своята страница.

„Бърза проверка показва, че има поне няколко десетки сървъри в държавните мрежи, които ползват PHP. Вероятно ако добавим общинските сайтове, бройката ще скочи още“, пише Божанов.

Той настоява националният координатор по киберсигурност да гарантира, че всички засегнати сървъри са актуализирани, и още същия ден да обяви мащаба на потенциално уязвимите системи в държавната администрация.

„В противен случай съществува голям риск от пробив и изтичане на данни. В среда на хибридни атаки срещу България този риск е напълно реален и не бива нещата да бъдат оставяни на случайността“, предупреждава той.

Засега няма потвърдени публични данни за успешно компрометирани сайтове на български държавни институции вследствие на конкретните уязвимости.

Поправките са налични, но рискът остава

Разработчиците на PHP пуснаха извънредни актуализации на 21 октомври, които отстраняват двете критични уязвимости. Британската здравна служба NHS England съобщи, че експерти вече са демонстрирали успешно използване на пропуските в популярни системи като WordPress, Drupal и Joomla.

Проблемът засяга не само сайтовете, които видимо използват PHP, но и софтуерни продукти, в които езикът е интегриран. Затова организациите трябва да проверят не само собствените си интернет страници, но и сървърите и приложенията, от които зависят.

OpenAI съобщава, че е помогнала за откриването на уязвимостите и ги определя като един от най-значимите проблеми със сигурността в последно време заради сериозността им и широкото разпространение на PHP.

Междувременно акциите на компаниите за киберсигурност поскъпнаха на борсите. Книжата на Cloudflare се повишиха с близо седем процента, CrowdStrike добави около три процента, а Palo Alto Networks — около четири процента.

Основното опасение на специалистите е, че нападателите могат да използват уязвимостите по-бързо, отколкото всички засегнати оператори успеят да инсталират актуализациите. Затова решаващи са бързата реакция, проверката на всички засегнати системи и временното ограничаване на достъпа до тези, които все още не са защитени.