Национальный координационный центр по компьютерным инцидентам при ФСБ России 22 октября 2026 года направил объектам критической информационной инфраструктуры предписание через государственную систему обнаружения, предупреждения и ликвидации последствий компьютерных атак. Поводом стали две критические уязвимости в PHP, которые позволяют злоумышленнику удалённо выполнить произвольный код на сервере без аутентификации. Ведомство требует обновить PHP, проверить серверы антивирусными средствами и изучить журналы событий на признаки взлома.
Что предписано объектам критической инфраструктуры
Документ состоит из трёх последовательных шагов:
- Обновить PHP до исправленных версий.
- Проверить серверы антивирусными средствами.
- Изучить журналы событий и найти возможные признаки компрометации.
Если оперативно обновить систему не получается, координационный центр советует рассмотреть временное ограничение внешнего доступа к уязвимым веб-серверам. В крайнем случае их предлагается отключить полностью.
Требование касается широкого круга организаций: государственных органов, финансовых компаний, предприятий энергетики, транспорта и связи, а также медицинских учреждений. Под действие предписания попадают и другие объекты критической информационной инфраструктуры.
Две уязвимости с оценкой 9,2
Речь идёт об уязвимостях CVE-2026-109618 и CVE-2026-109619, которые относятся к критическому уровню. Для атаки не нужны ни логин, ни пароль: достаточно, чтобы сервер обрабатывал веб-запросы.
Под угрозой находятся практически все установки PHP, работающие с веб-трафиком. В список входят PHP-FPM, Apache с mod_php, php-cgi, FrankenPHP и LiteSpeed. Наибольший риск отмечен для конфигураций с mod_php.
Разработчики проекта выпустили исправления 21 октября 2026 года. Закрывающие уязвимости версии — PHP 8.5.12, 8.4.27, 8.3.36 и 8.2.35.
Почему временных мер недостаточно
В официальном уведомлении проекта PHP говорится, что полностью устранить проблему можно только обновлением. Временные меры закрывают лишь отдельные векторы атаки. К ним относятся:
- отключение параметра session.upload_progress.enabled;
- установка memory_limit=-1;
- ограничение post_max_size.
Ни одна из этих настроек, ни все они вместе не дают полной защиты. Поэтому координационный центр ставит обновление на первое место, а ограничение доступа рассматривает как вынужденный вариант на время, пока патч не установлен.
Реакция за рубежом
Похожие рекомендации публиковали и зарубежные центры кибербезопасности, в том числе Национальный центр кибербезопасности Нидерландов. Они также призывали немедленно обновить PHP или временно ограничить доступ к уязвимым системам. В ряде стран государственные и иные сайты на время отключали в качестве меры предосторожности.
Мнение ИИ
С точки зрения машинного анализа данных, самая тихая часть этой истории — возраст программ. Обновление до исправленных версий доступно только для веток 8.2–8.5, а для PHP 8.1 и старше официальных исправлений нет: эти ветки достигли конца жизненного цикла. Критическая инфраструктура любит «вечные» системы, а злоумышленник любит их ещё больше: сервер, который нельзя обновить, превращается в музейный экспонат с открытой дверью. Сведения об уязвимостях просочились раньше планового раскрытия 22 октября, и это сократило окно для подготовки. Патч и публикация деталей идут в одной гонке, а проигравший платит первым. Что выберет организация, которая не может обновиться: изоляцию сервера или надежду?
▼
Самые интересные и важные новости на нашем канале в Telegram