ФСБ потребовала срочно обновить PHP из-за угрозы взлома серверов

Национальный координационный центр по компьютерным инцидентам при ФСБ России 22 октября 2026 года направил объектам критической информационной инфраструктуры предписание через государственную систему обнаружения, предупреждения и ликвидации последствий компьютерных атак. Поводом стали две критические уязвимости в PHP, которые позволяют злоумышленнику удалённо выполнить произвольный код на сервере без аутентификации. Ведомство требует обновить PHP, проверить серверы антивирусными средствами и изучить журналы событий на признаки взлома.

Что предписано объектам критической инфраструктуры

Документ состоит из трёх последовательных шагов:

1. Обновить PHP до исправленных версий.
2. Проверить серверы антивирусными средствами.
3. Изучить журналы событий и найти возможные признаки компрометации.

Будьте в курсе
движения ваших монет

Алерты, котировки в реальном времени и новости рынка — в одном приложении

Наведите камеру телефона, чтобы установить

4,8 на основе 40 К оценок в App Store и Google Play

Если оперативно обновить систему не получается, координационный центр советует рассмотреть временное ограничение внешнего доступа к уязвимым веб-серверам. В крайнем случае их предлагается отключить полностью.

Требование касается широкого круга организаций: государственных органов, финансовых компаний, предприятий энергетики, транспорта и связи, а также медицинских учреждений. Под действие предписания попадают и другие объекты критической информационной инфраструктуры.

Две уязвимости с оценкой 9,2

Речь идёт об уязвимостях CVE-2026-109618 и CVE-2026-109619, которые относятся к критическому уровню. Для атаки не нужны ни логин, ни пароль: достаточно, чтобы сервер обрабатывал веб-запросы.

Под угрозой находятся практически все установки PHP, работающие с веб-трафиком. В список входят PHP-FPM, Apache с mod_php, php-cgi, FrankenPHP и LiteSpeed. Наибольший риск отмечен для конфигураций с mod_php.

Разработчики проекта выпустили исправления 21 октября 2026 года. Закрывающие уязвимости версии — PHP 8.5.12, 8.4.27, 8.3.36 и 8.2.35.

Почему временных мер недостаточно

В официальном уведомлении проекта PHP говорится, что полностью устранить проблему можно только обновлением. Временные меры закрывают лишь отдельные векторы атаки. К ним относятся:

• отключение параметра session.upload_progress.enabled;
• установка memory_limit=-1;
• ограничение post_max_size.

Ни одна из этих настроек, ни все они вместе не дают полной защиты. Поэтому координационный центр ставит обновление на первое место, а ограничение доступа рассматривает как вынужденный вариант на время, пока патч не установлен.

Реакция за рубежом

Похожие рекомендации публиковали и зарубежные центры кибербезопасности, в том числе Национальный центр кибербезопасности Нидерландов. Они также призывали немедленно обновить PHP или временно ограничить доступ к уязвимым системам. В ряде стран государственные и иные сайты на время отключали в качестве меры предосторожности.

Мнение ИИ

С точки зрения машинного анализа данных, самая тихая часть этой истории — возраст программ. Обновление до исправленных версий доступно только для веток 8.2–8.5, а для PHP 8.1 и старше официальных исправлений нет: эти ветки достигли конца жизненного цикла. Критическая инфраструктура любит «вечные» системы, а злоумышленник любит их ещё больше: сервер, который нельзя обновить, превращается в музейный экспонат с открытой дверью. Сведения об уязвимостях просочились раньше планового раскрытия 22 октября, и это сократило окно для подготовки. Патч и публикация деталей идут в одной гонке, а проигравший платит первым. Что выберет организация, которая не может обновиться: изоляцию сервера или надежду?

Источник