Ако фирменият ви сайт или служебните приложения използват PHP или Java, поискайте проверка от поддръжката още сега. Това не е обновяване за отлагане до следващата профилактика. През последните дни PHP и Java получиха спешни предупреждения за сигурност. При PHP нападател може да изпълнява чужд код на уеб сървър. При Java рискът е приложението да се довери на фалшиво удостоверение за самоличността на отсрещната услуга.
Проверено към 23 октомври 2026 г. Има поправки, регистрирани опити за атака и ново уточнение от днес. Ето какво е потвърдено и какво трябва да провери бизнесът.
PHP: проблем в двигателя на сайта
PHP изпълнява логиката на много сайтове, включително WordPress. Двете критични уязвимости, известни като PHP2Shell, са в управлението на паметта и обработката на грешки. При определени условия PHP използва повредени вътрешни данни или памет, която вече е освободена. Нападател може да превърне това в изпълнение на свои команди без акаунт в сайта.
Достъпът първоначално е с правата на процеса, обслужващ уеб заявките — не непременно с пълни административни права. Особено изложени са сървърите с Apache и mod_php: там е демонстрирана атака още преди изпълнението на кода на сайта. Бюлетин за първия проблем · Бюлетин за втория
Първи признаци за проблема с паметта има още през 2024 г., но тогава няма доказан път до такава атака. На 11 август 2026 г. изследовател от Calif докладва работещ сценарий, а OpenAI и Wiz също допринасят с независими доклади. След преждевременно разпространение на информация поправките са публикувани на 21 октомври, ден по-рано от планираното. Хронология на PHP Foundation
Версиите с поправки за двата основни проблема са 8.2.35, 8.3.36, 8.4.27 и 8.5.12 за съответните клонове. За старите версии проверете дали доставчикът е приложил адаптирана поправка; редовната им поддръжка от PHP е приключила. Официални версии и мерки
Обновяване само на WordPress или добавките не решава проблема. Необходима е проверка на самия PHP от хостинга или администратора. Версията се вижда в WordPress от „Инструменти → Здраве на сайта → Информация → Сървър“. При поправки, добавени от доставчика, поискайте и неговото потвърждение. Препоръката на WordPress
Има ли реални атаки?
Да, има регистрирани опити. Amazon Threat Intelligence съобщава за опит срещу своята система MadPot още на 17 октомври — четири дни преди публичното разкриване. MadPot използва системи примамки за наблюдение на нападатели. Следват и други опити, включително след излизането на поправките.
Amazon уточнява, че не е ясно дали тези опити биха успели срещу реални работещи системи. Следователно това не доказва открадната клиентска база или превзет фирмен сайт. Доклад на Amazon
На 22 октомври Bitdefender посочва, че не е наблюдавал експлоатация в собствената си телеметрия. Различните компании виждат различни части от интернет; липсата на сигнал при един доставчик не отменя наблюденията на друг. Bitdefender
Java: когато фалшивият сървър изглежда надежден
На 21 октомври Oracle публикува извънреден бюлетин за Java SE и GraalVM. Причината е доверие към компрометирани междинни сертификати на eMudhra. Цифровият сертификат служи като удостоверение, че приложението общува с правилната услуга.
При слаб ключ за подписване нападател може да създаде фалшиво удостоверение. Ако успее и да се намеси в мрежовата връзка, би могъл да се представи за истинския сървър и да чете или променя информацията. Това не означава, че всяко Java приложение вече е пробито. Рискът зависи от доверието към засегнатите сертификати и условията за прихващане на връзката. Oracle · Red Hat
Сигналът за осемте засегнати сертификата е получен на 17 октомври. Mozilla ги блокира за Firefox с обичайни настройки за по-малко от три часа. eMudhra ги оттегля на 18 октомври и свързва слабите ключове с дефект в процедурата по генерирането им през април 2025 г. Компанията заявява, че няма доказателства за използването им преди разкриването и че собствената ѝ инфраструктура и данни не са пробити. Mozilla · Изявление на eMudhra
Мерките: актуализация според доставчика на Java или прилагане на неговите указания за премахване на доверието и проверка за оттеглени сертификати. Инструкциите на Oracle са уточнени на 22 октомври. Проверяват се всички инсталации и собствените хранилища за сертификати на приложенията — включително Java, вградена в служебен софтуер. Обновен браузър сам по себе си не е достатъчен. Актуални инструкции на Oracle
Има ли доказани финансови загуби?
Към проверката на 23 октомври в прегледаните първични източници не открихме публично потвърдени конкретни финансови загуби, платени откупи или назовани организации, доказано пострадали от точно тези уязвимости.
Има оперативно отражение: enable.services съобщава за временно ограничен или спрян достъп до хоствани CRM и маркетингови системи, докато приложи PHP поправките. Последващите проверки не откриват признаци за компрометиране. Доставчикът не посочва финансови загуби. Отчет на enable.services
Изтичане на данни, прекъсване на продажби и разходи за възстановяване са възможни последствия при успешна атака. Засега не бива да ги представяме като доказани щети по тези случаи.