kapitalist.blog

Критична вразливість PHP: акції Cloudflare зросли на 6%

Критична вразливість PHP змусила розробників мови випустити екстрені патчі 21 жовтня. Два недоліки дозволяють віддалене виконання коду й зачіпають близько 70% усіх сайтів світу. Ринок відреагував миттєво. Акції Cloudflare та інших кібербезпекових компаній пішли вгору, щойно інвестори оцінили масштаб загрози.

Що сталося з рушієм PHP

PHP — мова, якою працює більшість вебу. За даними W3Techs, її використовують близько 69% сайтів із відомою серверною мовою. Тому діра в самому рушії б’є одразу по всій екосистемі — від WordPress до Drupal, Joomla й Magento. Під вразливість потрапляє будь-яка інсталяція, що обслуговує веб-запити — PHP-FPM, Apache, FrankenPHP чи LiteSpeed. Вразливості дістали номери CVE-2026-109618 і CVE-2026-109619 та спільну назву PHP2Shell. Обидві оцінені в 9,2 бала за шкалою CVSS — це критичний рівень. Вони працюють у кожній версії PHP від 5.4 і новіше. Виправлення вийшли у збірках 8.5.12, 8.4.27, 8.3.36 і 8.2.35.

Чому це небезпечно

Одна з дір не просто запускає чужий код. Вона витягує з пам’яті сервера паролі, токени сесій і ключі API — за логікою, схожою на Heartbleed. Під найбільшим ударом — сервери на Apache з mod_php. Там атаку можна запустити ще до того, як завантажиться сам сайт. Дослідники вже показали віддалене виконання коду на Magento й десятку інших застосунків. Деталі витекли в мережу 20 жовтня, за добу до запланованого розкриття. Команді PHP довелося прискорити реліз. Cloudflare зафіксувала перші атаки о 07:43 UTC — ще до офіційного патча. Дослідник Кевін Бомонт назвав це однією з найбільших вразливостей за роки.

Чому зросли акції Cloudflare

Для ринку новина стала драйвером усього кібербезпекового сектору. Web Application Firewall від Cloudflare — передова лінія захисту мільйонів PHP-сайтів. Інвестори швидко оцінили цю роль. Акції Cloudflare (NET) протягом сесії 21 жовтня додавали близько 6%. У середині торгів вони коштували $307,79 — плюс $16,10, або 5,52%. Зростав не лише Cloudflare. Станом на час публікації Datadog піднявся на 7,55%, Okta — на 7,51%, Zscaler — на 7,39%, а CrowdStrike — на 6,29%. Підросли й інші імена сектору, зокрема Palo Alto Networks. Інвестори дедалі частіше закладають кіберризик у ціни — як і після зламу гаманців Ledger на $90 млн. Технічний директор Cloudflare Дейн Кнехт закликав не розслаблятися. Правила фаєрвола доступні всім тарифам, навіть безкоштовному. Самі правила WAF він назвав лише тимчасовим заходом і порадив якнайшвидше ставити офіційні патчі.

Уряди вимикають сайти, а діру знайшов ШІ

Загроза виявилася настільки серйозною, що уряди почали відключати власні ресурси. За даними Reuters, у Нідерландах і Фінляндії сайти агенцій з кібербезпеки пішли в офлайн. Серед них — нідерландський Національний центр кібербезпеки та нижня палата парламенту. Відомства Європи, Австралії, Японії та Британії закликали оновлюватися негайно. Є в історії й несподіваний поворот. Першу вразливість виявила не людина, а штучний інтелект. Модель GPT-5.6 Sol від OpenAI знайшла CVE-2026-109618 ще в серпні в межах ініціативи Patch the Planet. Обидві діри незалежно підтвердила команда Wiz Research.

Що далі для інвесторів

Головний ризик нікуди не зник. PHP 8.1 і старіші версії офіційного оновлення не отримали. Команда випустила лише вихідні патчі для 7.4, 8.0 і 8.1 — для тих, хто збирає мову з коду. Мільйони застарілих інсталяцій залишаться відкритими надовго. Фахівець із комп’ютерної криміналістики Гел Померанц попередив про довгий «хвіст» інцидентів. Для Cloudflare усе це означає стійкий попит на захист. Терміни оновлень від великих хостерів — WP Engine, Kinsta, SiteGround — поки не оголошені. Поки сайти на спільному хостингу чекають, попит на захист рівня WAF тримається високим. Якщо вразливість потрапить до каталогу CISA KEV, федеральні агенції США отримають жорсткі дедлайни на оновлення. Це додатковий попутний вітер для постачальників WAF.

Читайте також

Джерела

Автор: Олег Іванів

Дисклеймер. Матеріал має виключно інформаційний та освітній характер і не є індивідуальною інвестиційною рекомендацією, фінансовою, податковою чи юридичною порадою. Перед ухваленням фінансових рішень проведіть власний аналіз або проконсультуйтеся з ліцензованим фахівцем. Автор і kapitalist.blog не несуть відповідальності за рішення, ухвалені на основі цього матеріалу.

More posts