kapitalist.blog

Black October: що критична вразливість PHP означає для інвестора

Критична вразливість PHP за два дні вимкнула частину урядових сайтів Європи й підняла акції кіберзахисту до тижневих максимумів. Мова про дві діри в мові, якою працює більшість вебу. Знайшов їх штучний інтелект — і саме це перетворило технічний інцидент на подію, яку вже охрестили «Black October».

Для інвестора тут дві різні історії. Перша — разовий сплеск попиту на захист. Друга — структурний зсув: ШІ навчився знаходити багатолітні вразливості швидше, ніж це роблять зловмисники. Друга важливіша, і вона надовго.

Що сталося за 72 години

PHP-проєкт випустив екстрене оновлення у вівторок-середу, 20–21 жовтня. Воно закриває дві критичні вразливості — CVE-2026-109618 і CVE-2026-109619. Разом їх називають php2shell.

Обидві дозволяють віддалене виконання коду без автентифікації. Простими словами: зловмисник отримує контроль над сервером, не маючи жодного логіна. PHP оцінив кожну на 9,2 за шкалою CVSS v4.0. Фірма watchTowr виставила максимальні 10,0.

Виправлення вийшли 21 жовтня — у версіях 8.5.12, 8.4.27, 8.3.36 і 8.2.35. Деталі діри просочилися в соцмережі ще 20 жовтня, на день раніше за план. Це змусило команду PHP прискорити реліз.

Реакція була миттєвою. Уряди Нідерландів, Фінляндії, Франції, Бельгії та ще кількох країн тимчасово вимкнули частину сайтів. У Нідерландах офлайн пішли портал Overheid.nl, сервіс цифрової ідентифікації DigiD і навіть сайт порту Роттердама. У Японії збої зафіксували авіакомпанія ANA, залізниця JR West і найбільший банк MUFG. Першу, коротку реакцію ринку ми вже описали окремо — у новині про стрибок акцій Cloudflare; тут ідемо глибше.

Масштаб визначає одне число. PHP працює приблизно на 70% усіх сайтів світу, включно з WordPress і Drupal. Тому оновлюватися довелося майже всім одночасно.

Чому це «Black October»: ШІ змінив правила

Назву запустив допис у соцмережі X вночі 22 жовтня. Автор описав попередні дві доби як найгірші в історії кібербезпеки. Термін миттєво розійшовся.

Але справа не в назві. Обидві діри знайшов штучний інтелект. Дослідники Wiz — це хмарний підрозділ Google — використали передові ШІ-моделі, а частину роботи вела й OpenAI. Баги просиділи в коді PHP понад десять років і люди їх не помічали.

Це змінює економіку кіберзагроз. Колишній директор американської агенції CISA Кріс Кребс оцінив темп. За його словами, 3% усіх критичних вразливостей в історії знайшли лише за останній місяць. Його прогноз звучить досить логічно: спершу стане гірше, потім краще.

php2shell — не єдиний епізод жовтня. У той самий тиждень зламали проксі LiteLLM, знайшли діри в Node.js і GitLab, витекли ключі з платформи Railway. ШІ так чи інакше фігурував у більшості цих історій. Саме тому «Black October» — про інструмент, а не про одну мову програмування. Ту саму лінію ми розбирали, коли писали, чому банки почали блокувати ШІ-агентів.

Механіка php2shell і тінь Log4Shell

Щоб зрозуміти ризик, досить двох деталей. CVE-2026-109618 — це пошкодження пам’яті через брак ресурсів, коли PHP обробляє ще не до кінця ініціалізовані дані. CVE-2026-109619 залишає внутрішній стан, що вказує на вже звільнену пам’ять. Обидва шляхи ведуть до одного — чужого коду на вашому сервері.

Небезпека не в складності, а в охопленні. Вразлива кожна версія PHP від 5.4 до 8.5.11. Версії 8.1 і старіші офіційного патча не отримали — їхню підтримку вже припинено. Сайти на цих версіях лишаються відкритими, доки власник не втрутиться вручну.

Паралель напрошується сама. У грудні 2021-го світ пережив Log4Shell — діру в Java-бібліотеці з оцінкою CVSS 10. Тоді теж ішлося про віддалене виконання коду й повсюдність компонента. php2shell навіть у назві відсилає до того випадку. Різниця одна, але принципова: Log4Shell знайшла людина, php2shell — машина.

Чому злетіли акції кіберзахисту

Ринок відреагував передбачувано. У середу, 21 жовтня, акції Cloudflare (NET) підскочили приблизно на 7%. За тиждень, станом на 23 жовтня, картина ще промовистіша. Palo Alto Networks (PANW) і CrowdStrike (CRWD) додали близько 11%, Cloudflare — 9%, а Okta (OKTA) — 14%. Разом із ними росли Datadog, Zscaler і галузевий ETF CIBR.

Кожна така подія підштовхує компанії збільшувати бюджети на захист. Deutsche Bank назвав головними бенефіціарами CrowdStrike і Palo Alto. Evercore додав до списку Palo Alto, SentinelOne, а в сегменті захисту вебдодатків — Akamai, Fastly і Cloudflare. За оцінками галузевих аналітиків, світові витрати на кіберзахист у 2026-му перевищать 300 млрд доларів — і це тло, на якому читається будь-який окремий інцидент.

Окрема лінія — Google. Саме його Wiz отримав публічне визнання за знахідку. Нагадаю, у березні 2025-го Alphabet купив Wiz за 32 млрд доларів — це найдорожча угода в історії компанії. Для хмарного бізнесу Google історія з php2shell — фактично безкоштовна реклама. Втім, акції самого Alphabet зреагували стриманіше за чисті кіберкомпанії: ефект розчиняється в трильйонній капіталізації.

Що це означає для інвестора

Головне — не сплутати дві речі. Разовий стрибок котирувань і структурний попит на захист — це різні сигнали.

Історія вчить обережності. Після Log4Shell у 2021-му кіберакції теж злетіли, а потім віддали частину зростання. Одна вразливість рідко змінює річні бюджети компаній — їх змінює низка інцидентів поспіль. Тому поточне ралі варто читати радше як емоцію ринку, ніж як підтверджену зміну тренду.

Є й питання ціни. Сектор і без того дорогий. У ETF CIBR співвідношення ціни до прибутку близько 22, а в окремих чистих гравців на кшталт CrowdStrike прибутку поки нема зовсім. Частина доброї новини вже закладена в котирування — як і загалом у дискусії про бульбашку ШІ.

Для українського інвестора додається технічний бар’єр. Усі ці компанії торгуються на біржах США, тож доступ іде через міжнародних брокерів. Диверсифікований варіант — ETF кіберсектору: CIBR, BUG або HACK. Але варто пам’ятати про валютні обмеження НБУ воєнного часу: виводити кошти на закордонні рахунки фізособам нині складніше. Це не заклик купувати — це опис того, як узагалі влаштований доступ.

Український і європейський зріз

Європейський вимір події — на поверхні: десятки урядових сайтів пішли офлайн. Але є й ближчий, суто український кут.

Значна частина українського вебу працює саме на PHP. Це WordPress-сайти, локальні хостинги, сторінки бізнесу й державних сервісів. Для їхніх власників php2shell — не новина з-за кордону, а пряме технічне завдання. Перевірити версію PHP і оновити її — конкретна дія на цьому тижні, а не абстрактна порада.

Інвесторський бік історії для України непрямий. Українських публічних кіберкомпаній, які б виграли від сплеску попиту, на ринку нема. Вихід один — закордонні активи через тих самих брокерів і ті самі ETF. Тобто подія цікава українцю у двох ролях одночасно: як власнику сайтів і як потенційному інвестору в чужий ринок.

Три сценарії

Історія може піти трьома шляхами.

Базовий. Більшість сайтів оновлюється, гучного зламу не стається. Наратив про зростання витрат на кіберзахист лишається в силі, але поточне ралі частково здувається. Сектор тримається, без ейфорії.

Оптимістичний для сектору. У найближчі тижні з’являються гучні зломи незахищених систем, і це збігається з бюджетним циклом кінця року. Компанії реально нарощують витрати. Лідери захисту — CrowdStrike, Palo Alto, Cloudflare — отримують стійку переоцінку, а не одноденний стрибок.

Песимістичний. Масово ламають сайти на застарілих версіях PHP, яким патч не дістався. Збитки реальні, і паралельно підтверджується головний страх: ШІ прискорює не лише захист, а й атаку. На загальному розпродажі технологій першими страждають саме дорогі кіберакції з високими мультиплікаторами.

Висновок

php2shell — це не стільки про PHP, скільки про новий баланс сил. Машина тепер знаходить діри швидше за людину, і ринок це вже відчув.

Стежити варто за чотирма речами. Перше — чи обернеться вразливість гучним зломом незахищених систем. Друге — квартальні звіти CrowdStrike, Palo Alto, Cloudflare й Okta: чи підтвердять вони реальне прискорення витрат, а не лише настрій. Третє — чи з’являться нові критичні вразливості, знайдені ШІ, як обіцяє Кребс. Четверте, найприземленіше, — версія PHP на ваших власних сайтах.

Цей матеріал має інформаційно-аналітичний характер і не є індивідуальною інвестиційною рекомендацією. Рішення про купівлю чи продаж активів ви ухвалюєте самостійно й на власний ризик — тут лише факти та контекст, а не порада купувати конкретну акцію.

Автор: Олег Іванів

Читайте також:

Джерела:

More posts