Ошибка в PHP остановила сотни сайтов по всему миру. Кто пострадал и сколько это могло стоить бизнесу?
21 октября 2026 года интернет столкнулся с одной из самых серьёзных уязвимостей последних лет. Две ошибки в PHP, языке, на котором работает значительная часть сайтов, заставили компании, банки и государственные учреждения экстренно отключать свои сервисы.
Под удар попали даже крупные организации. И самое интересное, что во многих случаях хакерам не пришлось ничего взламывать. Компании сами останавливали работу, потому что продолжать её было опаснее.
Что вообще произошло?
В PHP обнаружили две критические уязвимости: CVE-2026-109618 и CVE-2026-109619. Вместе они получили название PHP2Shell.
Оценка опасности — 9,2 из 10.
При определённых условиях атакующий мог удалённо выполнить собственный код на сервере без авторизации. Проще говоря, получить возможность управлять сервером, на котором работает сайт.
Самое неприятное, что первые попытки эксплуатации специалисты Amazon зафиксировали ещё 17 октября. За четыре дня до официального выпуска исправлений.
После раскрытия информации началась настоящая гонка. Cloudflare сообщила о миллионах попыток атак. Причём их количество выросло с нескольких тысяч до сотен тысяч за считаные часы.
Кто реально пострадал?
Вот несколько подтверждённых примеров.
Нидерланды. Порт Роттердама
Сайт одного из крупнейших портов Европы временно оказался недоступен. Мониторинг зафиксировал перерыв примерно на 2 часа 36 минут.
Это не означает, что остановилась работа самого порта. Но даже недоступность информационных сервисов крупной логистической организации показывает, насколько далеко могут распространяться последствия одной программной ошибки.
Япония. Крупные банки и транспортные компании
Ограничения онлайн-сервисов затронули Mitsubishi UFJ Financial Group, Nomura, авиакомпанию ANA и East Japan Railway.
Важно: речь идёт об ограничениях цифровых сервисов, а не о подтверждённом взломе банковских систем или остановке транспорта.
Wikimedia и Internet Archive
Организации временно ограничивали доступ к отдельным системам и сервисам, чтобы снизить риск эксплуатации уязвимости.
Великобритания, Финляндия, Германия и Франция
Отключались государственные сайты и отдельные электронные сервисы. Ограничения также коснулись ресурсов BBC и ряда муниципальных организаций.
Причиной часто становилось именно предупредительное отключение перед установкой обновлений.
TestMonitor. Восемь часов без сервиса
Здесь есть особенно показательный пример с точными цифрами.
21 октября платформа TestMonitor полностью отключила свои сервисы на 8 часов 10 минут.
Не работали приложение, API, вебхуки, фоновые задания и исходящие письма.
Компания официально подтвердила простой. При этом признаков взлома и утечки клиентских данных обнаружено не было.
И таких случаев оказалось немало.
А сколько денег потеряли компании?
Вот тут самое интересное.
На 26 октября никто не представил достоверного совокупного финансового ущерба от PHP2Shell. Нет подтверждённых данных о многомиллионных потерях конкретных компаний именно из-за этих двух уязвимостей.
Но отсутствие опубликованных убытков не означает, что инцидент обошёлся бесплатно.
Для бизнеса последствия складываются сразу из нескольких составляющих:
- Простой сайта или онлайн-сервиса.
- Потерянные заказы и обращения клиентов.
- Экстренная работа системных администраторов и специалистов ИБ.
- Проверка серверов на признаки проникновения.
- Тестирование обновлений и восстановление работоспособности.
- Возможные расходы на расследование инцидентов.
Для понимания масштаба можно взять простой расчёт.
Если интернет-магазин обычно приносит 500 тысяч рублей выручки в день, то восемь часов полной остановки теоретически соответствуют примерно 167 тысячам рублей оборота.
Это не чистый убыток, а потенциально затронутая выручка. Часть заказов клиенты могут оформить позже, а фактические потери будут зависеть от маржинальности и поведения покупателей.
Для крупной цифровой платформы даже несколько часов простоя могут иметь куда более серьёзные последствия.
И здесь возникает довольно неприятный вопрос: сколько организаций вообще знают, во сколько им обходится один час недоступности информационной системы?
Самая интересная часть этой истории — искусственный интеллект
Одна из проблем была известна разработчикам ещё в 2024 году. Однако исправление долго откладывалось из-за сложности изменений и риска нарушить работу существующих систем.
В 2026 году исследователи при помощи ИИ смогли подтвердить возможность эксплуатации ошибок и ускорить поиск решений.
Но у этой технологии есть обратная сторона.
Те же инструменты, которые помогают искать уязвимости, могут использоваться злоумышленниками для анализа исправлений и разработки атак.
Получается странная ситуация: искусственный интеллект помогает защищать инфраструктуру, но одновременно сокращает время, которое остаётся администраторам на установку обновлений.
Что это значит для России?
PHP активно используется в российских корпоративных системах, интернет-магазинах, государственных и образовательных веб-ресурсах.
Поэтому считать PHP2Shell исключительно зарубежной проблемой было бы ошибкой.
Особенно уязвимы организации с устаревшими системами, где обновление PHP невозможно провести за несколько часов. Иногда версия языка привязана к старой CMS, внутренним интеграциям и программным модулям, которые никто не тестировал годами.
И вот здесь начинается классическая история.
Система работает, трогать её не хотят. Деньги на модернизацию не выделяют. Документация устарела, а человек, который всё это настраивал, давно уволился.
Потом появляется критическая уязвимость.
И внезапно оказывается, что стоимость обновления была гораздо меньше потенциальной стоимости остановки сервиса.
Что в итоге?
История PHP2Shell ещё не закончилась.
Массовые попытки атак уже зафиксированы. Но количество действительно взломанных организаций и фактический финансовый ущерб пока остаются неизвестными.
При этом последствия обнаруженной ошибки вполне реальные: отключённые сайты, недоступные сервисы, срочные обновления и тысячи часов дополнительной работы ИТ-специалистов.
И, пожалуй, главный вывод здесь даже не про PHP.
Самая дорогая уязвимость не обязательно та, через которую украли данные. Иногда достаточно одной ошибки, чтобы организация сама была вынуждена остановить собственные сервисы.
А у вас в организации есть понимание, сколько будет стоить один день простоя основной информационной системы?