Семь утверждений. Семь факчеков. Никакого хайпа.

Уязвимость PHP2Shell вызвала громкие заголовки об ИИ, миллионах уязвимых сайтов и кризисе безопасности в масштабах всего интернета.

Давайте отделим факты от преувеличений.

1. Обнаружил ли ИИ новую критическую уязвимость? 

 Вводит в заблуждение.

Исходящая проблема обработки нехватки памяти (out-of-memory) была выявлена разработчиком ядра PHP ещё в 2024 году в ходе устранения замечаний по итогам аудита безопасности.

Исследователи с помощью ИИ позже определили векторы для эксплуатации, дополнительные уязвимости и разработали рабочие цепочки атак.

 Найти ошибку в коде и разработать эксплойт — это две разные вещи.

2. Уязвимы ли 70% интернета? 

 Ложь. Дважды.

Во-первых, цифра 70% относится к доле использования PHP среди сайтов с известным серверным языком программирования, а не ко всему интернету в целом.

Во-вторых, даже среди этих PHP-сайтов уязвимы только те установки, где используется затронутый непропатченный код и выполняются соответствующие условия для проведения атаки.

 70% — это ни доля интернета, работающая на PHP, ни доля систем, уязвимых перед PHP2Shell.

3. Заражены ли миллионы сайтов? 

 Некорректная терминология.

PHP2Shell — это не вирус. Это уязвимость в программном обеспечении.

Уязвимая система не становится автоматически заражённой или скомпрометированной.

 Проблема безопасности — это не заражение.

4. Были ли взломаны миллионы сайтов? 

 Не подтверждено.

Исследователи безопасности зафиксировали многочисленные попытки эксплуатации.

Но попытки атак — это не успешные проникновения.

Компания Sophos даже скорректировала свой первоначальный отчёт об успешной эксплуатации после проведения дополнительного расследования.

По состоянию на 25 октября нет достоверных доказательств массовых успешных взломов через PHP2Shell. Реальное количество успешных атак остаётся неизвестным.

5. Может ли один HTTP-запрос захватить контроль над любым PHP-сервером? 

 Вводит в заблуждение.

Исследователи продемонстрировали серьёзные RCE-атаки (выполнение произвольного кода), включая эксплуатацию через одиночный запрос в определённых конфигурациях.

Однако успешная атака зависит от конкретной уязвимости, среды выполнения, конфигурации и состояния памяти.

 Вызов ошибки памяти не означает автоматическое получение веб-шелла.

6. Сайты отключились из-за того, что их взломали? 

 Не обязательно.

Многие сервисы были намеренно переведены в оффлайн самим администраторами на время оценки рисков и установки обновлений безопасности.

Профилактическое отключение не является доказательством успешной атаки.

7. Входит ли PHP2Shell в число худших уязвимостей в истории ПО? 

 Необоснованная оценка.

Компания Wiz предположила, что находка может войти в число самых опасных уязвимостей в истории программного обеспечения.

Уязвимости действительно критические. Но только лишь техническая степень критичности не определяет их место в истории.

Фактический эффект, успешность эксплуатации и нанесённый ущерб — это совершенно разные метрики.

 Критичность — это не то же самое, что ущерб.

Так что же остается в итоге? 

Отбросьте раздутые цифры, неверную терминологию и драматичные прогнозы.

Что остаётся?

 Две критические уязвимости безопасности памяти в PHP, которые при определённых условиях могут позволить выполнить произвольный код (RCE).

Они реальны. Они серьёзны.

 И патчи уже доступны.

Никаких 70% скомпрометированного интернета. Никаких миллионов заражённых сайтов. Никакого апокалипсиса, созданного ИИ.

Просто критические уязвимости в ПО, требующие установки обновлений безопасности.

 Обновите PHP. Проверьте установку. И работайте дальше.

На основе информации, доступной на 25 октября 2026 года.

Источники