ФСБ России потребовала срочно закрыть дыры в PHP и разрешила отключать уязвимые серверы

Национальный координационный центр по компьютерным инцидентам при ФСБ потребовал от операторов критической информационной инфраструктуры срочно закрыть уязвимости CVE-2026-109618 и CVE-2026-109619 в PHP, получившие название PHP2Shell. Если обновить серверы быстро не получается, их нужно закрыть от внешнего доступа или отключить совсем. О письме НКЦКИ 22 октября 2026 года сообщил РБК, подлинность документа подтвердили организации-получатели.

Рассылка прошла через государственную систему ГосСОПКА и дошла до госучреждений, банков, операторов связи, энергетических и транспортных компаний, медицинских организаций. Помимо установки патчей, адресаты получили указания:

• проверить серверы антивирусными средствами;
• изучить журналы событий и найти следы проникновения;
• передавать сведения о подозрительных инцидентах.

Код без пароля

Обе уязвимости получили 9,2 балла по шкале CVSS 4.0. При определённых условиях они позволяют выполнить произвольный код на сервере без авторизации, то есть атакующему не нужны ни логин, ни пароль. Под ударом могут оказаться данные, работа приложений и соседние компоненты инфраструктуры.

Разработчики PHP выпустили исправления 21 октября в версиях 8.2.35, 8.3.36, 8.4.27 и 8.5.12. Для промышленного сервера с корпоративным порталом, медицинской системой или банковским сервисом установка патча упирается в обязательные операции, которые нельзя пропустить:

• резервное копирование;
• проверка совместимости;
• тестирование приложений;
• согласование технологического окна.

Пока патч не установлен, закрытие внешнего доступа остаётся рабочим способом снизить вероятность атаки.

Запасной вариант для старых версий

Чешский разработчик Ондржей Сура (Ondřej Surý), сопровождающий репозитории PHP для Debian и Ubuntu, 21 октября подготовил обновления для 12 веток языка, в том числе для давно снятых с поддержки версий 5.6, от 7.0 до 7.4 и 8.0 и 8.1. Исправления перенесли бэкпортами, без перехода на актуальную ветку. Это выигрыш времени, но не замена поддержки, и разработчики PHP рекомендовали переходить на поддерживаемые версии.

Уязвимость сидит в самом интерпретаторе PHP, а не в системе управления сайтом. Новая версия WordPress, Drupal, Joomla или «1С-Битрикс» проблему сама по себе не закрывает, проверять нужно версию PHP, на которой работает приложение. По данным W3Techs, PHP применяется примерно на 69,3% сайтов в мире и на 90,8% русскоязычных ресурсов, для которых удалось определить серверный язык. Это не означает, что все они уязвимы, но для рунета вопрос о версии PHP касается почти каждого владельца сайта.

Госсайты уходят в офлайн

Защитные отключения вышли далеко за пределы России и коснулись государственных и коммерческих сайтов в разных странах:

• в Нидерландах отключали порталы Overheid.nl и MijnOverheid.nl, сервис DigiD, сайты больниц, порт Роттердама и футбольную ассоциацию;
• во Франции приостанавливали сайты префектур, в Германии отдельные федеральные ресурсы, в Финляндии госсервисы, меры приняли и в Бельгии с Чехией;
• в Японии ограничения затронули Минфин, налоговую службу, авиакомпанию ANA, East Japan Railway, Nomura и Mitsubishi UFJ;
• о временном отключении части систем сообщали Wikimedia Foundation, Internet Archive и оператор Orange.

В большинстве случаев сайты отключали превентивно, подтверждённых взломов за этим не стояло. Финский государственный ИТ-оператор Valtori предупредил, что восстановление некоторых сервисов займёт дни, а то и недели.

По данным Reuters, после публичного раскрытия уязвимостей Cloudflare зафиксировала рост попыток эксплуатации от нескольких тысяч запросов до миллионов. Компания заранее внедрила правила WAF, но фильтр трафика лишь прикрывает дыру и не заменяет патч. В России сайт на время отключило издание «7×7». Главный редактор Олег Григоренко объяснил это желанием не допустить несанкционированного доступа к данным, после проверки инфраструктуры и устранения уязвимостей работу ресурса восстановили. Если даже небольшому изданию пришлось гасить сайт, владельцам других ресурсов пора проверить версию PHP на сервере.

Кто платит за срочность

Для получения обновлений «1С-Битрикс» нужен действующий период обновлений, и его продление оплачивается отдельно. Если с момента окончания предыдущего периода прошло больше месяца, стандартное продление по условиям разработчика обойдётся в 60% стоимости редакции продукта. Если старая коммерческая CMS несовместима с актуальной версией PHP, список расходов растягивается:

• новая лицензия или редакция CMS;
• тестирование приложений;
• доработка интеграций;
• простой сервисов на время миграции.

Кто ответит за простой сервиса, который отключили ради защиты и не смогли быстро вернуть? Письмо адресовано операторам КИИ, а не всем владельцам сайтов, и всеобщего механизма контроля обновлений оно не создаёт. Но миллионы попыток эксплуатации показывают, что статус владельца сервера атакующих не интересует.

Эксперты CISOCLUB отметили, что PHP2Shell проверяет не скорость установки патча, а зрелость управления уязвимостями в организации. Компании с актуальным реестром компонентов и понятным владельцем каждого сервера закрывают подобные дыры за часы, а там, где версию PHP приходится выяснять по переписке, уходят дни. Бэкпорты и правила WAF покупают время, но долг перед устаревшим софтом остаётся, и миграцию на поддерживаемые версии лучше планировать до следующей критической уязвимости.

Временное отключение сервера остаётся рабочей мерой для тех, кто не успевает с патчем, поэтому заранее стоит решить, какие сервисы можно выключить без ущерба. Для компаний вне КИИ письмо НКЦКИ служит ориентиром по порядку действий, и проверку версии PHP, журналов и серверов антивирусом разумно провести и им.

Ранее сообщалось, что после публичного раскрытия двух критических уязвимостей PHP, объединённых под названием php2shell, злоумышленники за несколько часов организовали миллионы попыток атак. Согласно данным Cloudflare, в первые 45 минут количество вредоносных запросов увеличилось с тысяч до десятков тысяч, затем достигло сотен тысяч и выросло до миллионов. Разработчики оперативно выпустили экстренные обновления, а власти нескольких стран временно отключили часть государственных сайтов, чтобы дождаться установки исправлений.