Уязвимости PHP: НКЦКИ ФСБ предписал обновить версии 22 октября 2026 года

22 октября 2026 года Национальный координационный центр по компьютерным инцидентам при ФСБ направил через систему ГосСОПКА предписание операторам критической информационной инфраструктуры. Документ требует устранить уязвимости PHP, обозначенные как CVE-2026-109618 и CVE-2026-109619 и получившие общее название PHP2Shell.

Получателями стали государственные органы, банки, телеком-операторы, энергетические и транспортные компании, а также медицинские организации. Предписание касается всех систем, использующих PHP для обработки веб-запросов.

Содержание директивы НКЦКИ ФСБ

Организации обязаны установить исправленные версии PHP: 8.5.12, 8.4.27, 8.3.36 или 8.2.35. После обновления требуется провести антивирусную проверку серверов и анализ журналов на признаки компрометации. Все подозрительные события необходимо сообщать в дежурную службу ГосСОПКА.

Если немедленное обновление невозможно, предписано рассмотреть временное ограничение внешнего доступа к уязвимым веб-серверам, включая полное отключение. Оба идентификатора CVE получили оценку CVSS v4.0 9.2 и позволяют удалённое выполнение кода без аутентификации через ошибки обработки памяти.

Уязвимости затрагивают PHP начиная с версии 5.4. Официальные исправления выпущены только для поддерживаемых веток 8.2–8.5. PHP Foundation опубликовала патчи 21 октября 2026 года, на день раньше запланированного срока после утечки деталей 20 октября.

Масштаб угрозы и действия в России

Попытки эксплуатации зарегистрированы в глобальной сети, включая данные Cloudflare, и на территории России. Компания Bi.Zone зафиксировала первые атаки и оценила количество потенциально уязвимых PHP-приложений в российском сегменте интернета примерно в 50 тысяч.

Уязвимости обнаружены с применением методов искусственного интеллекта. Исследователи из Калифорнии использовали модели OpenAI и инструменты Wiz. В нескольких европейских странах уже фиксировались временные отключения сайтов из-за этих проблем.

НКЦКИ рекомендовал провести инвентаризацию использования PHP во всей инфраструктуре, установить патчи в кратчайшие сроки и применять компенсирующие меры, такие как правила WAF, при невозможности немедленного обновления. Для устаревших веток официальных исправлений не предусмотрено.