ФСБ предупредила об уязвимостях PHP: уязвимым сайтам критической инфраструктуры предписано ограничить доступ

Разработчики PHP выпустили срочные обновления, закрывающие две критические уязвимости, которые позволяют злоумышленникам удалённо выполнять произвольный код на серверах. Ошибки получили идентификаторы CVE-2026-109618 и CVE-2026-109619, их опасность оценили в 9,2 балла из 10 по шкале CVSS 4.0. Установить исправления рекомендуется как можно скорее.

Одну из уязвимостей нашла модель GPT-5.6 Sol. Об этом сообщили исследователи из Calif — находка сделана в рамках инициативы Patch the Planet. OpenAI называет эту проблему одной из самых значимых найденных проблем безопасности за последнее время и заявила, что ожидает заметно большего числа подобных находок в ближайшие месяцы. Компания также сообщила, что работала с исследователями, разработчиками и специалистами по кибербезопасности над поиском ошибок и подготовкой защитных мер до раскрытия технических подробностей.

Исправления вошли в версии PHP 8.5.12, 8.4.27, 8.3.36 и 8.2.35. Обновлённые пакеты также должны предоставлять поставщики Linux-дистрибутивов и долгосрочно поддерживаемых программных платформ. Ветки PHP 8.1 и старше больше не получают обычных обновлений от основного проекта, однако для некоторых из них подготовлены отдельные исправления. Если установить обновление немедленно невозможно, разработчики предлагают временные меры по снижению риска, но подчёркивают, что они не обеспечивают полной защиты.

По данным W3Techs, PHP используют 90,8% сайтов с русскоязычным контентом и 69,3% всех сайтов в мире. Обновление WordPress, Drupal или Joomla само по себе проблему не решает: уязвимости затрагивают непосредственно PHP. Наиболее опасным сценарием команда PHP назвала эксплуатацию через mod_php, при которой атаку можно запустить ещё до выполнения кода приложения — риск зависит от конфигурации сервера. Уязвимые установки при этом позволяют получить контроль над сервером и извлечь из его памяти конфиденциальные данные, включая пароли и криптографические ключи.

Информация об уязвимостях появилась на фоне сообщений о временном отключении ряда сайтов в Европе. По опубликованным данным, некоторые государственные и другие организации приостанавливали работу ресурсов в качестве меры предосторожности. Власти ряда стран предупредили пользователей об угрозе. В России потенциальная угроза также может затронуть большое число сайтов: руководитель центра разработки больших языковых моделей MWS AI Валентин Малых заявил РБК, что под угрозой могут оказаться десятки тысяч ресурсов Рунета.

22 октября Национальный координационный центр по компьютерным инцидентам (НКЦКИ) при ФСБ разослал владельцам систем критической информационной инфраструктуры письмо с предписанием. Документ касается госорганов, банков и других финансовых организаций, предприятий энергетики и транспорта, медицинских учреждений и прочих объектов критической инфраструктуры. НКЦКИ требует установить исправленную версию PHP, проверить серверы антивирусом и изучить журналы событий на предмет возможного взлома. Если обновить программное обеспечение быстро нельзя, организации должны рассмотреть ограничение внешнего доступа к уязвимым веб-серверам вплоть до их полного отключения — то есть временно закрыть сайт от посетителей, пока исправление не будет установлено. О подозрительных инцидентах предписано сообщать в ГосСОПКУ.

Ранее в сети также появлялись сообщения об инструменте PHP2Shell, который, как утверждалось, позволяет выполнять произвольный код на сайтах, использующих популярные CMS и веб-фреймворки.

Отдельно OpenAI выделяет миллиард долларов на субсидированный доступ к Daybreak для защитников с ограниченными ресурсами и раздаёт подписки на Codex мейнтейнерам открытого ПО. Компания также предлагает закрепить процедуру обнаружения и устранения уязвимостей, найденных ИИ, как типовой регламент для будущих находок. Подготовка исправлений заняла около двух месяцев и потребовала согласования между разработчиками PHP, специалистами Calif, Wiz и Cloudflare, Агентством по кибербезопасности и защите инфраструктуры США (CISA) и Белым домом. Для проверки установленных версий OpenAI опубликовала диагностический инструмент php2shell-checker на GitHub.