«Open source — это эксплуатация»: программист, стоящий за распространением PHP-исправлений, — о своём вкладе и проблемах открытого кода
Волонтёр с 20-летним стажем Ондржей Сурый поговорил с The Atlantic.
Во вторник, 20 октября 2026 года, на онлайн-форумах и в соцсетях начали появляться сообщения о том, что в языке программирования PHP, который использован при написании почти 70% сайтов всемирного интернета, на годами существовали две критические уязвимости. Они могли позволить злоумышленникам получить полный контроль над серверами, украсть данные или «выключить» сайт.
Масштаб проблемы команда PHP Foundation осознала в августе, после проверок со стороны OpenAI и двух кибербез-компаний Calif и Wiz. В последней обнаруженные уязвимости назвали «возможно, одними из самых серьёзных в истории ПО», но отметили: чтобы понять, как их можно проэксплуатировать, потребовались бы усилия «на пределе возможностей исследователей-людей» (выявить уязвимости удалось с помощью ИИ).
Впервые о лазейках в PHP узнали ещё в 2024 году, но тогда их не стали исправлять по нескольким причинам:
- Разработчики не смогли придумать, как именно эту уязвимость могли бы использовать злоумышленники.
- Не удавалось найти решение, которое бы не приводило к негативным последствиям в работе кода.
- Команде не хватало ресурсов.
Проект, от которого зависят компании и государства, «поразительно недофинансирован», объясняла исполнительный директор PHP Foundation Элизабет Баррон.
После инцидента она рассказала, что штат состоит из одного человека на полной ставке — её самой, а остальную работу выполняют 14 подрядчиков, занятых неполный день. Члены совета директоров — тоже добровольцы, а единственные источники финансирования — донаты и гранты.
Над подготовкой обновлений, которые позволили широкому кругу пользователей быстро внести исправления, трудился волонтёр Ондржей Сурый — чешский программист, занимающий должность директора DNS-направления в американской НКО Internet Systems Consortium. Более 20 лет он добровольно поддерживает PHP-пакеты для дистрибутивов Linux Debian и Ubuntu.
После релиза благодарности программисту начали стихийно выражать в Reddit и X. Некоторые называли его героем и спасителем интернета, другие предостерегали: если не будет таких добровольцев, «нам всем конец».
В четверг 22 октября Сурый дал интервью The Atlantic. Его слова приведены ниже от первого лица и отредактированы.
«Если я умру, это станет головной болью кого-то другого»
[Когда об уязвимостях стало известно,] многие запаниковали, но не я. Есть проблема, но мы знаем, как её решить, и располагаем временем. Я не «стрессовал», потому что я всего лишь доброволец. Если завтра меня собьёт автобус, эта уязвимость станет головной болью кого-то другого.
На самом деле я уже думаю о преемственности. Сейчас мы обсуждаем это с основателем французской ИТ-компании Freexian Рафаэлем Герцогом. Да, у меня большой опыт, я знаю, как что работает, но и у них есть экспертиза. Думаю, они смогут подхватить моё дело, если что-то случится. За всё время работы большую долю задач удалось автоматизировать.
Так как у меня нет собственных PHP-проектов, которые бы оказались под угрозой, лично для меня ситуация не была психологически сложной. Но я чувствовал ответственность перед пользователями, и не мог их подвести.
Код обновления написала и опубликовала команда PHP, а моя задача заключалась в том, чтобы «упаковать» его в так называемые пакеты, которые можно быстро установить на сотни и тысячи разных серверов. Пользователи и без меня могли бы обновить код, но это было бы гораздо сложнее, и не всем хватило бы навыков и знаний.
Со дня [релиза] люди донатят как сумасшедшие, причём перечисляют и маленькие, и большие суммы.
По меркам Кремниевой долины это, конечно, мало, но всё равно значительно больше, чем обычно. Похоже, за 24 часа я получил столько же, сколько обычно получаю за год. (В разговоре с BBC Сурый рассказал, что за несколько дней получил больше $10 тысяч — прим. vc.ru).
Если бы мы не выпустили обновление так быстро, последствия могли быть самыми разными, начиная с вандализма и вывода сайтов из строя и заканчивая созданием ботнетов. Правда, это всё ещё может случиться, ведь не все установили обновления — при том, что пропатчить можно даже некоторые старые версии. (Официально проект выпустил патчи только для четырёх новых версий, остальные Сурый опубликовал от своего имени — vc.ru).
«Open source ощущается как эксплуатация»
В целом я согласен, что применение ИИ ускорило процессы и для хакеров, и для специалистов по кибербезопасности (после инцидента влияние агентов на сферу активно обсуждали в соцсетях и медиа — vc.ru), но все эти разговоры упираются в то, что многие относятся к ИТ-инфраструктуре как к данности.
Средств, которые направляются на её поддержание, недостаточно, и этому не уделяют должного внимания. Проблема на стороне не только компаний — под угрозой находятся пользователи устаревших устройств, которые [уже не обновить и потому] легко атаковать.
Сейчас всё меняется очень быстро, и от этого страдают те, кто занимается кибербезопасностью. Но с другой стороны, вдруг это станет поворотным моментом, после которого люди наконец начнут задумываться и поймут, что такое халатное отношение не может продолжаться вечно? Возможно, я ошибаюсь, но я оптимист.
Ситуация с PHP — катастрофа, которая назревала очень-очень долгое время. И это лишь один из примеров того, что случилось и может случиться в будущем.
Поначалу работа над open-source-проектами приносила мне удовольствие. Отчасти, это всё ещё так, но ситуация изменилась, и «опенсорс» всё больше ощущается как эксплуатация. Я бы хотел, чтобы в будущем нам удалось найти модель, при которой разработчики, занимающиеся открытым кодом, получали бы достойное вознаграждение за часы своего труда от тех, кто извлекает из него наибольшую выгоду.
Жена говорит, что я стал равнодушным и ничего не чувствую, но это не так. Мне правда было приятно сделать работу, которая помогла множеству людей по всему миру. Мои социальные сети и электронные ящики забиты благодарственными сообщениями, и это придаёт моей работе смысл.
Но я хочу, чтобы компании осознали, что на open-source, как и на любую другую эксплуатацию, нельзя полагаться. В какой-то момент это закончится, и закончится плохо, потому что у энтузиастов, которые занимаются открытым кодом, в конце концов просто иссякнет мотивация.