ФСБ России потребовала отключать сайты критической информационной инфраструктуры, если администраторы не могут оперативно обновить PHP. Указание разослали через ГосСОПКУ на фоне обнаружения двух критических уязвимостей, позволяющих захватывать серверы без пароля.
Согласно информации о разосланной директиве, владельцам затронутых ресурсов предписано временно прекращать работу сайтов, если быстро устранить уязвимости невозможно. Речь идёт о системах организаций, относящихся к критической информационной инфраструктуре (КИИ), включая предприятия энергетики, транспорта, связи, финансового сектора и других жизненно важных отраслей. Публичный текст самого указания пока недоступен, поэтому точные сроки исполнения и полный круг адресатов остаются неизвестными.
Предупреждение передали через ГосСОПКУ, государственную систему обнаружения, предупреждения и ликвидации последствий компьютерных атак. Работу системы координирует Национальный координационный центр по компьютерным инцидентам (НКЦКИ), созданный ФСБ. Через инфраструктуру ГосСОПКИ организации получают сведения об угрозах и обмениваются информацией о кибератаках.
Причиной экстренных мер стали две уязвимости PHP2Shell, получившие идентификаторы CVE-2026-109618 и CVE-2026-109619. Обе имеют критическую оценку 9,2 балла по шкале CVSS 4.0. Злоумышленник может отправить специально сформированный запрос на уязвимый сайт и добиться выполнения собственного кода на сервере без авторизации. В некоторых конфигурациях атака срабатывает ещё до запуска самого веб-приложения.
Особую опасность представляет расположение ошибок непосредственно в интерпретаторе PHP, который обрабатывает серверную часть сайтов. Даже полностью обновлённые WordPress, Drupal, Joomla или другие системы управления содержимым не защищают от PHP2Shell, если сервер продолжает использовать уязвимую версию языка. Успешная атака может открыть доступ к файлам, базам данных и другим ресурсам в пределах полномочий рабочего процесса веб-сервера.
Разработчики PHP выпустили экстренные исправления 21 октября 2026 года. Уязвимости устранены в PHP 8.5.12, 8.4.27, 8.3.36 и 8.2.35. Более ранние версии соответствующих веток остаются уязвимыми без дополнительных исправлений. PHP 8.1 и старше больше не поддерживаются основным проектом, хотя некоторые поставщики Linux и коммерческой поддержки выпускают собственные исправленные пакеты.
Полноценной альтернативы установке исправлений разработчики не предлагают. Временные изменения настроек PHP и фильтрация подозрительных HTTP-запросов способны затруднить отдельные способы эксплуатации, но не устраняют сами ошибки. Поэтому при невозможности немедленно обновить сервер отключение внешнего доступа рассматривается как способ исключить риск удалённого взлома на время устранения проблемы.
Масштаб угрозы выходит далеко за пределы России. Британский центр кибербезопасности рекомендовал организациям срочно обновить PHP, а при невозможности быстро установить исправления рассмотреть временное отключение уязвимых систем. Аналогичные предупреждения выпустили американские и европейские ведомства. В нескольких странах государственные интернет-ресурсы уже временно выводили из эксплуатации в качестве меры предосторожности.
Исследователи подтвердили возможность эксплуатации обеих уязвимостей, а специалисты по кибербезопасности зафиксировали попытки атак на реальные серверы. При этом количество успешно взломанных ресурсов достоверно не установлено. Профилактическое отключение сайта также не означает, что ресурс уже скомпрометирован. Администраторы стремятся не допустить проникновения до установки исправлений.
Для российских организаций ситуация осложняется возможным присутствием PHP в старых корпоративных порталах, ведомственных сервисах и специализированных системах, где обновление программного окружения требует дополнительной проверки совместимости. Перевод таких ресурсов на новую версию может оказаться сложнее обычного обновления сайта. Однако откладывание исправлений сохраняет возможность атаки через доступные из интернета службы.
Администраторам необходимо проверить не только основную версию PHP на сервере, но и отдельные приложения, контейнеры и встроенные компоненты сторонних продуктов. Обновление операционной системы не гарантирует устранения уязвимостей во всех экземплярах интерпретатора. После установки исправлений также следует проверить журналы запросов и признаки возможной компрометации, поскольку обновление не удаляет вредоносный код, который злоумышленники могли установить раньше.