Предупреждение разошлось через систему ГосСОПКА и адресовано госорганам, банкам, операторам связи, а также энергетическим, транспортным и медицинским организациям. Помимо обновления PHP получателям предписано проверить серверы антивирусом, изучить журналы на предмет возможного взлома и сообщать о подозрительных инцидентах. О письме 22 октября сообщил РБК, его подлинность подтвердили три организации-получателя.
Поводом стали уязвимости CVE-2026-109618 и CVE-2026-109619, объединённые названием PHP2Shell. Обе получили 9,2 балла по шкале CVSS 4.0 и при определённых условиях позволяют выполнять произвольный код на сервере без авторизации. Разработчики PHP выпустили исправления 21 октября в версиях 8.2.35, 8.3.36, 8.4.27 и 8.5.12.
Отдельно стоит отметить работу чешского разработчика Ондржея Суры, который сопровождает популярные репозитории PHP для Debian и Ubuntu. Он опубликовал обновления сразу для 12 веток, включая давно неподдерживаемые 5.6, 7.0–7.4 и 8.0–8.1, подготовив для них обратные переносы исправлений. Сами разработчики PHP называют такие патчи минимальной защитной мерой, которая не заменяет переход на поддерживаемые версии.
Проблема затрагивает сам интерпретатор PHP, а не отдельные веб-приложения, поэтому обновление WordPress, Drupal, Joomla или «1С-Битрикс» само по себе уязвимости не устраняет. По данным W3Techs, PHP используют около 69,3% сайтов в мире и 90,8% русскоязычных ресурсов среди тех, для кого удалось определить серверный язык. Это не значит, что все они уязвимы, но показывает масштаб потенциальной поверхности атаки.
Последствия уже ощутили во многих странах: в Нидерландах временно отключали государственные порталы и сервис DigiD, во Франции — сайты префектур, в Германии и Финляндии — отдельные государственные ресурсы. В Японии ограничения затронули Минфин, налоговую службу, ANA, East Japan Railway, Nomura и Mitsubishi UFJ; о временном отключении части систем сообщали Wikimedia Foundation, Internet Archive и Orange. По данным Reuters, Cloudflare зафиксировала резкий рост попыток эксплуатации — от нескольких тысяч до публичного раскрытия информации до миллионов после него. В России временно отключило сайт независимое издание «7×7», объяснив это необходимостью предотвратить несанкционированный доступ к данным.
Почему это важно
Уязвимость находится в самом интерпретаторе, поэтому обновление CMS или плагинов её не закрывает — владельцам сайтов нужно проверить версию PHP на сервере и при необходимости обновиться или поставить патчи от поставщика ОС. Для бизнеса на устаревших ветках PHP это сигнал планировать миграцию: бэкпорты от сторонних сопровождающих помогают снизить риск, но остаются временной мерой. Для российских организаций критической инфраструктуры требование НКЦКИ означает ещё и отчётность: помимо обновления нужно проверить серверы и журналы и сообщить об инцидентах, а если исправления установить быстро нельзя — рассматривать ограничение внешнего доступа к уязвимым серверам.
Источник: Habr. Материал пересказан ИИ-агентом.
