Чорна середа: злам Railway, діра в PHP та екстрені патчі Node.js за одну добу

21 жовтня стало одним із найнапруженіших днів для вебінфраструктури цього року. Три незалежні події вдарили по мільйонах сайтів і сервісів, і майже скрізь на кону були секрети: ключі, токени та паролі.

Читайте також: ТОП-10 зарядних станцій для квартири у 2026 році: від бюджетних до преміум

Railway: витік секретів клієнтів

Хмарна платформа Railway, якою, за її даними, користуються понад 2 млн розробників, повідомила про злам систем зберігання змінних середовища. За словами компанії, стороння особа могла отримати доступ до зашифрованих змінних, а частину з них — у розшифрованому вигляді. У таких змінних зазвичай зберігаються API-ключі, паролі до баз даних і доступи до приватних реєстрів.

Проблеми почалися вранці 21 жовтня: перестали працювати дашборд, API, CLI та сайт підтримки, збірки й деплої зупинилися в усіх регіонах. Про витік Railway оголосила лише ввечері. Компанія анулювала всі API-токени та OAuth-сесії, перевипустила ключі до сховищ і токени GitHub-інтеграції. Усім клієнтам рекомендовано змінити всі секрети. Збірки повертаються поетапно: станом на ранок 22 жовтня вони знову доступні тарифам Enterprise і Pro.

Спосіб проникнення Railway поки не розкриває, постмортем обіцяно після завершення розслідування. За попередніми даними, головною метою атаки були ключі до AI-сервісів: OpenAI, Anthropic, xAI, OpenRouter. Компанія пов'язує інцидент із серією атак на платформи для розробників. Тижнем раніше схожий злам пережив AI-інструмент OpenCode.

Наслідки вже помітні. Сервіс Postiz повністю відключився після повідомлень від Anthropic і Stripe про компрометацію ключів. Дослідники пов'язують із витоком і крадіжку близько $371 тис. у криптовалюті, проте Railway ці дані не підтвердила.

PHP2Shell: критичні вразливості в ядрі PHP

Того ж дня PHP випустив екстрені оновлення, що закривають дві критичні вразливості в ядрі мови: CVE-2026-109618 і CVE-2026-109619, обидві з оцінкою 9.2 за CVSS 4.0. Вони дають змогу без авторизації виконати довільний код на сервері, а одна з них ще й витягує дані з пам'яті, подібно до Heartbleed. Вразливі практично всі версії, починаючи з PHP 5.4. Дослідники підтвердили атаки на WordPress, Drupal, Magento та інші популярні CMS.

Помилки знайшли фахівці Calif, Wiz і OpenAI ще влітку. Розкриття планувалося на 22 жовтня, але 20-го ідентифікатори потрапили в мережу, і реліз перенесли на день раніше. Атаки почалися ще до патча: Amazon зафіксував першу спробу 17 жовтня, Cloudflare — вранці 21-го. Увечері Amazon повідомив про широку експлуатацію.

Виправлення вийшли у версіях 8.5.12, 8.4.27, 8.3.36 і 8.2.35. Старі гілки патчів, найімовірніше, не отримають. За даними Shodan, у мережі працює понад 880 тис. серверів із PHP 8.1 і старішими версіями. Хостинг-провайдери, зокрема Hetzner, розіслали клієнтам із виділеними та хмарними серверами листи із закликом оновитися самостійно.

Node.js: десять вразливостей і відкликання довіри до сертифікатів

Node.js також випустив позапланові оновлення: закрито 10 вразливостей, чотири з них високого рівня. Найнебезпечніша, CVE-2026-111497, пов'язана з розпакуванням даних і може призвести до віддаленого виконання коду. Водночас Node.js перестав довіряти сертифікатам центру сертифікації eMudhra після компрометації його проміжного сертифіката. Виправлені версії — 22.23.4, 24.22.1 і 26.12.1.

Ланки одного ланцюга?

Прямого зв'язку між подіями не встановлено, і висновки варто робити після постмортему Railway. Але загальний тренд очевидний. Зловмисники масово полюють на секрети, передусім на ключі до AI-сервісів, які миттєво перетворюються на гроші. Вразливості тепер знаходять швидше, зокрема за допомогою AI, і вікно між розкриттям і атакою скорочується до годин.

Що зробити просто зараз

• оновити PHP і Node.js до виправлених версій та перезапустити сервіси;
• клієнтам Railway змінити всі секрети: спочатку в провайдерів, потім на самій платформі;
• перевірити рахунки й логи AI-сервісів, Stripe, AWS, GCP і GitHub на підозрілу активність.

Джерела

• Railway Status — Railway Platform Outage
• OpenClassActions — Railway Hack: API Keys, Passwords and AI Accounts Exposed
• OfficeChai — Railway Discloses Security Breach
• Finwire — Railway breach linked to $371,000 crypto theft
• Wiz Research — PHP2Shell
• Sansec — PHP2Shell: Critical PHP RCE
• The Hacker News — PHP Issues Emergency Patches for PHP2Shell
• Tenable — PHP2Shell FAQ
• Safeguard — PHP2Shell: How Hard Is It to Exploit
• Cybersecurity News — PHP2Shell PoC Exploit
• Node.js — October 2026 Security Releases

Читайте також: Безперебійне живлення роутера та оптоволокна (GPON/ONU) під час блекаутів у 2026 році: ТОП Mini-UPS, кабелі-перехідники та чесний розрахунок часу роботи