Дыра в безопасности: слабые TLS-ключи eMudhra и две критические уязвимости в PHP
Две критические угрозы кибербезопасности пришли одновременно: у индийского удостоверяющего центра обнаружили восемь скомпрометированных TLS-сертификатов, которыми можно подделывать сайты, а в PHP нашли две уязвимости с оценкой 9,2 из 10 — с уже циркулирующими эксплойтами. Разбираю обе угрозы и что делать прямо сейчас.
Неделя закончилась двумя новостями, которые обычно приходят с разницей в год. Восемь промежуточных сертификатов индийского удостоверяющего центра eMudhra скомпрометированы — ими можно подделывать любые сайты. И в тот же день PHP выпустил экстренные патчи к двум удалённым уязвимостям исполнения кода с оценкой 9,2 из 10, причём эксплойты уже циркулируют в сети. Обе угрозы — про один и тот же принцип: доверие, которое оказалось хрупким.
Угроза 1: восемь поддельных сертификатов
Удостоверяющий центр — это тот, кто подписывает сертификаты сайтов, и браузеры ему доверяют по умолчанию. У индийского ЦС eMudhra скомпрометированы ключи восьми промежуточных сертификатов: по данным отслеживания инцидента, ключи могли быть слабыми из-за ошибки при их генерации. Любой, кто получил ключ, способен подписать от имени eMudhra сертификат для любого сайта — и браузеры примут его как настоящий.
| Параметр | Значение |
|---|---|
| Скомпрометировано | 8 промежуточных TLS-сертификатов eMudhra |
| Кто доверяет корням | Корневые программы Mozilla, Microsoft, Apple и Chrome, плюс десятки downstream-списков |
| Что позволяет атака | Подделка любого сайта: перехват трафика и фишинг с «зелёным замком» |
| Где обновлять | Списки доверия в ОС (ca-certificates), браузерах, pip, uv, certifi и подобных |
Экосистема отреагировала за сутки: обновились пакеты доверенных сертификатов Linux, а в Python-мире вышли pip 26.2.2, uv 0.13.4 и certifi 2026.10.19 с обновлёнными списками. Отслеживание всех затронутых продуктов ведётся в открытом репозитории — для сервера первым делом обновите системный пакет сертификатов и перезапустите сервисы, использующие TLS-стек.
Угроза 2: две критические уязвимости в PHP
21 октября PHP опубликовал экстренные релизы по всей активной линии: CVE-2026-109618 и CVE-2026-109619 — удалённое исполнение кода без аутентификации, оценка CVSS 9,2 из 10. Уязвимы версии начиная с PHP 5.4 — то есть практически весь живой PHP-парк. Подтверждённая эксплуатация против Drupal и WordPress доказана ещё в августе.
Механизм опубликованных PoC — через механизм session.upload_progress при обработке запросов multipart/form-data: обычный файл, загружаемый пользователем, превращается в выполнение произвольного кода на сервере. Аутентификация не требуется — уязвим любой публичный PHP-сервис.
Хронология: как утекли детали
ИИ в центре истории
Эта находка — первый случай, когда критическая уязвимость уровня PHP открыта с участием языковых моделей в основном инструменте поиска: GPT-5.6 Sol и Gemini 4 Argon вошли в арсенал Wiz Research. Команда OpenAI, в свою очередь, выпустила открытый инструмент php2shell-checker для проверки сайтов на уязвимости и, по сообщениям СМИ, назвала этот инцидент одной из самых серьёзных проблем безопасности за последнее время, заявив, что их модель помогла обнаружить уязвимости раньше злоумышленников.
Эксперты, на которых ссылаются СМИ, опасаются главного сценария: патчи опубликованы открыто, значит по ним можно обучить атакующие модели — и устаревшие сайты на PHP 8.1 и ниже станут массовой добычей автоматизированных атак. Статус этой оценки — экспертное предупреждение, но практический вывод однозначен: непатченный PHP сегодня — это вопрос времени, а не вероятности.
Что делать прямо сейчас: чек-лист
- Определить версию PHP на всех серверах: команда версии на боевом хостинге, а не «где-то стоит 8.2».
- Обновиться до 8.5.12, 8.4.27, 8.3.36 или 8.2.35 — сегодня, до конца дня.
- Если версия 8.1 или ниже — планировать апгрейд ветки как задачу номер один: патчей не будет.
- Обновить системные сертификаты (ca-certificates) и Python-инструменты (pip, uv, certifi).
- До перезапуска на новый релиз — временная защита: отключить session.upload_progress или блокировать multipart-запросы на уровне веб-сервера.
- Проверить логи на признаки эксплуатации: подозрительные загрузки с multipart-контентом за последние сутки.
Временные меры из официального обсуждения: отключение session.upload_progress.enabled в php.ini (или php_admin_flag в PHP-FPM) и запрет запросов с Content-Type multipart на уровне веб-сервера (правила для Apache, nginx и Caddy опубликованы в обсуждении релиза). Это не замена патчу, а окно времени для апгрейда.
Частые вопросы
Мой сайт на PHP 8.1 — я взломан?
Не обязательно, но вы в зоне риска: патчей для 8.1 не будет, а механизм атаки опубликован. Единственная надёжная защита — апгрейд на поддерживаемую ветку; как крайняя мера — временные запреты multipart-запросов.
Как проверить, не подделан ли сертификат моего сайта через eMudhra?
Проверьте, кем выдан сертификат вашего домена: если корнем является eMudhra — выпустите сертификат заново у другого ЦС и обновите системные списки доверия.
Обновление WordPress спасает от уязвимости PHP?
Нет: уязвимость — в самом интерпретаторе. WordPress обновляется отдельно, но замена версии PHP на сервере обязательна независимо от версии CMS.
Стоит ли бояться ИИ-атак в ближайшие недели?
Оценки экспертов — уровень предупреждения, а не констатации. Практический вывод: окно «изучить патч и атаковать устаревшие версии» уже открыто, поэтому автоматизация атак — вопрос ближайшего времени.
Официальные релизы PHP и хронология раскрытия, разбор находки Wiz Research, отслеживание затронутых продуктов по инциденту eMudhra.
Проверить ваш сервер и сертификаты
Поможем проверить версию PHP, обновить доверенные сертификаты и настроить временные меры защиты, пока вы готовите апгрейд.
Написать на dnvitas@mail.ruМатериал собран 22.10.2026 по публикациям PHP Foundation, Wiz Research, Simon Willison и отслеживанию инцидента eMudhra. Оценка CVSS — 9,2 из 10 по данным разработчиков PHP.
