Язык, на котором держится интернет.
Вы жмете «Оформить заказ» в интернет-магазине и видите, что оплата прошла. В таких случаях проверку склада, запрос в банк и многое другое обычно делает код на PHP. А в октябре 2026-го именно из-за этого языка по всему миру начали выключать сайты. Давайте разбираться, как он устроен и почему две дыры в нем заставили паниковать целые государства.
Содержание
Что такое PHP простыми словами
Если объяснять, что такое PHP простыми словами, то это серверный язык программирования для создания сайтов и веб-приложений. Код выполняется не в вашем браузере, а на сервере, где лежит сайт. Браузер только отправляет запрос и получает готовую страницу, а решать, кто вы и что вам показать, на стороне сервера будет PHP язык программирования.
По-русски язык часто зовут просто «ПХП», а придумал его в 1994 году Расмус Лердорф. Если коротко, что такое PHP в программировании – это инструмент бэкенда, который превращает статичную страницу в сайт, умеющий запоминать пользователя и принимать заказы.
Для чего нужен PHP и где он используется
Главная задача языка – бэкенд, та часть сайта, которую пользователь не видит. Если спрашивают, PHP для чего нужен, обычно его используют для:
Блогов и новостных сайтов.
Интернет-магазинов с корзиной и платежами.
Форумов и соцсетей с профилями и сообщениями.
Личных кабинетов и CRM-систем.
Систем управления контентом (CMS), где сайт собирают без программиста.
Если говорить о том, PHP где используется из крупных проектов, то прямо сейчас на нем работает Википедия, а VK когда-то начинался именно с PHP. Но главная причина вездесущности языка – WordPress. Каждый сайт на этой CMS работает на PHP, а таких больше 40 процентов всего интернета.
Как работает язык программирования PHP
Пользователь запрашивает страницу, сервер выполняет PHP-файл сверху вниз, собирает готовый HTML и отдает его браузеру. Код не нужно заранее компилировать, поэтому результат виден сразу. Обратная сторона такого подхода в том, что каждый запрос обрабатывается с нуля, и без кеширования сложный сайт может тормозить.
Код пишут между тегами, переменные начинаются со знака доллара, а вывод на экран делает оператор echo. Выглядит это так:
Здесь мы завели две переменные, вывели приветствие и проверили возраст через условие if.
Преимущества и недостатки PHP
Сильные стороны языка:
Низкий порог входа, базу реально освоить без опыта в программировании.
Огромная экосистема фреймворков и библиотек под типовые задачи.
Нетребовательность к железу, сайт запустится даже на дешевом хостинге.
Слабые места:
Динамическая типизация, из-за которой переменная может внезапно сменить тип.
Нет полноценной многопоточности из коробки.
Репутация «дырявого» языка, которую события октября 2026-го только укрепили.
Чем PHP отличается от JavaScript и Python
PHP заточен под веб-бэкенд, а конкуренты покрывают более широкий круг задач:
| Язык | Где силен |
|---|---|
| PHP | Бэкенд сайтов и веб-приложений |
| JavaScript | Интерфейсы в браузере и бэкенд через Node.js |
| Python | Анализ данных, машинное обучение, веб |
JavaScript отвечает за то, что происходит прямо в браузере, а PHP работает на сервере, хотя с появлением Node.js языки местами конкурируют. Python универсальнее и годится даже для нейросетей, зато у PHP больше готовых решений для веба и дешевле хостинг.
Какие сайты и сервисы используют PHP
По данным W3Techs, PHP работает примерно на 70 процентах сайтов, у которых удается определить серверный язык. Кроме WordPress и MediaWiki, на нем построены Joomla, Drupal и Magento. В рунете доля еще выше, порядка 90 процентов сайтов с русскоязычным контентом, поэтому проблема в самом языке бьет по огромной части интернета.
Какие уязвимости обнаружили в PHP в октябре 2026 года
21 октября 2026 года команда PHP выпустила экстренные обновления против двух дыр под общим именем PHP2Shell. В каталоге они числятся как CVE-2026-109618 и CVE-2026-109619, и каждая получила оценку 9,2 из 10 по шкале CVSS 4.0. Это критическая уязвимость php в прямом смысле: обе позволяют без авторизации запустить свой код на чужом сервере.
Важно, что дыру нашли не в отдельном сайте или движке. Уязвимость php сидит в самом ядре языка, в том, как он работает с памятью и ошибками. Исследователи показали, что даже простейшая страница «Hello World» на уязвимой версии может оказаться под угрозой, как бы аккуратно ни был написан сайт.
Как это работает
Грубо говоря, после каждого запроса PHP очищает за собой память. Если в неудачный момент запрос очистки упирается в лимит памяти, программа аварийно обрывает работу, и уборка не доходит до конца. В памяти остаются ссылки на данные старого запроса, а следующий запрос принимает этот мусор за рабочие данные. Атакующий заранее подкладывает на это место свое содержимое и в итоге заставляет сервер выполнить нужные ему команды.
Какие версии затронуты
Уязвимы почти все версии, начиная с PHP 5.4, а это больше десяти лет релизов. Исправления вышли только для поддерживаемых веток: PHP 8.5.12, 8.4.27, 8.3.36 и 8.2.35. PHP 8.1 и все, что старше, официальных патчей от проекта не получат.
Ошибки жили в коде больше десяти лет, но собрать из них рабочую атаку человеку было слишком сложно. Это сделали исследователи из OpenAI, Wiz и Calif с помощью ИИ-моделей. Нейросети превратили этот класс ошибок в рабочий инструмент взлома. Причем, это были даже не самые передовые модели.
Почему из-за PHP начали отключать сайты
Несмотря на то, что исследователи нашли уязвимость раньше хакеров, ее детали утекли в сеть за день до запланированного фикса, и люди начали выключать сайты, не дожидаясь возможных атак. Так в Нидерландах отключили правительственный портал и сайты больниц, в Финляндии часть госсервисов, в в Японии часть сервисов приостановило министерство финансов. В России об ограничении функций сообщили «Битрикс24» и хостинг Beget.
Также ФСБ разослала госорганам, банкам, телекому, энергетическим, транспортным и медицинским компаниям требование обновить PHP и проверить логи на следы взлома. Если обновиться быстро нельзя, доступ к серверам предписали ограничить вплоть до отключения. Это и объясняет, почему отключают сайты из-за php: временно выключить ресурс дешевле, чем отдать сервер хакерам.
Но в целом, интернет-апокалипсиса все же не случилось. Cloudflare насчитала миллионы попыток атак, но публично подтвержденных взломов нам так и не показали. Многие гуляющие по сети эксплойты на стандартных настройках просто не срабатывали.
Почему расслабляться рано
Однако не спешите выдыхать. Через такую дыру в языке можно не только взломать сервер сразу, но и оставить на нем фоновый скрипт, который сработает позже или будет потихоньку сливать данные. Атаку могли провести в те часы, пока патч еще раскатывали, так что проблемы могут всплыть даже у тех, кто уже обновился.
Вторая проблема – старые сайты. Патч был готов заранее, но сайт на древней версии PHP для перехода на новую ветку часто придется серьезно переписывать, а людей, которые разбираются в таком коде, в конкретной компании может уже не быть. Представьте владельца сайта, который когда-то заплатил программисту и с тех пор про техническую сторону не вспоминал. О срочном обновлении он, скорее всего, даже не узнает. При такой распространенности PHP уязвимых сайтов останется очень много, и расхлебывать эту историю придется еще долго.
Стоит ли изучать PHP в 2026 году
Да, если вам интересна веб-разработка. О «смерти PHP» говорят лет пятнадцать, а язык по-прежнему держит больше половины сайтов в сети. К тому же, после октябрьских событий спрос на тех, кто умеет обновлять старый PHP-код и закрывать в нем дыры, только вырастет.
* * *
Minecraft в Elden Ring, CS в Minecraft и даже 8 игр в одной – как ИИ научил моддеров скрещивать игры
Комментарии
Да
—
Дальше не читал