ФСБ рекомендовала временно ограничить доступ к сайтам на уязвимом PHP
Национальный координационный центр по компьютерным инцидентам при ФСБ России рекомендовал организациям критической информационной инфраструктуры временно ограничить доступ к уязвимым веб-ресурсам. В крайних случаях сайты предлагают полностью отключить, если быстро установить исправления PHP невозможно.
Предупреждение касается государственных органов, финансовых, энергетических, транспортных, телекоммуникационных и медицинских организаций. Рекомендации были направлены через государственную систему обнаружения, предупреждения и ликвидации последствий компьютерных атак — ГосСОПКА.
Какие версии PHP под угрозой
Речь идет о двух критических уязвимостях с идентификаторами CVE-2026-109618 и CVE-2026-109619. По предоставленным техническим данным, они затрагивают версии PHP от 5.4 до 8.5.4 включительно. Обе проблемы связаны с классом ошибок use-after-free — обращением к участку памяти после его освобождения.
Опасность уязвимостей заключается в том, что обработка вредоносного запроса может происходить на уровне ядра PHP еще до запуска основной логики сайта. Для атаки достаточно, чтобы сервер принимал HTTP-запросы. При определенных условиях злоумышленник способен удаленно выполнить команды без авторизации, получить контроль над сайтом и добраться до конфиденциальных данных, включая пароли и служебную информацию.
Первая уязвимость связана с обработкой ситуации, когда входящий запрос превышает установленный лимит памяти. Вторая может проявляться после аварийного завершения запроса, например из-за фатальной ошибки или превышения времени выполнения. В некоторых конфигурациях рабочий процесс PHP сохраняет указатель на уже освобожденную область памяти, а затем использует его при обработке следующего запроса.
Что рекомендуют организациям
В первую очередь администраторам следует установить актуальную исправленную версию PHP и проверить, какие версии используются на веб-серверах и в системах управления контентом. Разработчики выпустили патчи для поддерживаемых веток 8.2.35, 8.3.36, 8.4.27 и 8.5.12. Владельцам устаревших выпусков рекомендуется перейти на поддерживаемые версии.
После обновления НКЦКИ советует провести антивирусную проверку серверов и изучить журналы событий, чтобы выявить признаки возможной компрометации. При обнаружении подозрительной активности организации должны передать сведения дежурным специалистам ГосСОПКА. Если оперативное обновление невозможно, внешний доступ к уязвимым веб-серверам следует временно закрыть.
По оценке специалистов по кибербезопасности, в российском сегменте интернета может находиться около 50 тыс. потенциально уязвимых веб-приложений на PHP. Проблема также затрагивает широко распространенные CMS, включая WordPress, Drupal и Joomla. Уязвимостям присвоена оценка 9,2 из 10, а технические материалы об их эксплуатации уже опубликованы.
Исследователи из Calif и Wiz сообщили, что обнаружили ошибки с помощью инструментов на базе искусственного интеллекта, включая собственные разработки, Google Gemini 4 Argon и OpenAI GPT-5.6 Sol. По их оценке, уязвимости могли оставаться незамеченными более десяти лет и потенциально затрагивать около 70% веб-ресурсов. Дополнительные правила фильтрации HTTP-запросов могут снизить риск атак, однако единственным надежным способом защиты остается установка официальных исправлений.
