Аналіз інциденту з PHP: дві вразливості, що паралізували мільйони німецьких вебсайтів

22 жовтня 2026 року газета Tagesspiegel опублікувала детальний аналіз того, як дві нещодавно виявлені вразливості PHP (CVE-2026-109618 та CVE-2026-109619, названі PHP2Shell) призвели до загальнонаціонального відключення вебсайтів. PHP, на якому, за оцінками, працює значна частка всіх вебсайтів світу — зокрема новинні портали на WordPress, інтернет-магазини та державні системи, — опинився під загрозою після того, як відомості про вразливості ненавмисно стали публічними ще до появи патча. Федеральне управління з інформаційної безпеки (BSI) випустило термінове попередження в середу о 14:06, вимагаючи від адміністраторів «встановити оновлення безпеки вже сьогодні».

Масштаб відключень був вражаючим: протягом кількох годин десятки німецьких державних установ відключили свої сайти, зокрема клініка «Шаріте», Вільний університет і Університет Гумбольдта, пожежні служби Берліна та інших міст, а також онлайн-портали для подання звернень до поліції Берліна і Бранденбургу. Розробники PHP випустили версію PHP 8.5.12 того самого дня в другій половині дня.

У статті наводяться слова експертів з кібербезпеки, які попереджають, що атаки з використанням штучного інтелекту скорочують час між розкриттям вразливості та її масовою експлуатацією з днів до годин, назвавши це «поворотним моментом» у безпеці інфраструктури. Федеральний міністр з питань цифровізації Карстен Вільдбергер підтвердив, що федеральні системи не постраждали, але визнав, що інцидент демонструє потребу в майже миттєвій здатності усувати вразливості.