21 октября команда PHP экстренно выпустила обновления, закрывающие две критические уязвимости (CVE-2026-109618 и CVE-2026-109619) с оценкой 9,2 из 10. Они позволяют выполнить произвольный код на сервере без логина и пароля. После утечки технических деталей, включая демонстрацию эксплойта PHP2Shell, атаки начались еще до официального релиза патчей — в Европе госсайты и порты превентивно уводили в офлайн.


ФСТЭК России оперативно внес обе угрозы в Банк данных угроз отдельными записями. Поскольку на PHP работает около 75% сайтов с известным серверным языком программирования (данные W3Techs), эта проблема напрямую касается любой организации, у которой есть хотя бы один веб-сервис, портал или коробочное решение. Разбираем, что произошло, кого это касается и что нужно сделать в первую очередь.

Что случилось

Речь о двух уязвимостях ядра PHP — CVE-2026-109618 и CVE-2026-109619, обе команда PHP оценила в 9,2 балла из 10 по шкале CVSS 4.0. Обе позволяют злоумышленнику удаленно выполнить произвольный код на сервере без предварительной авторизации — а это уже не «взлом конкретного сайта», а захват самого сервера. Обе относятся к классу use-after-free: программа работает с памятью, которая уже освобождена и переиспользована. Более того, обе живут в одном механизме PHP — session.upload_progress, отвечающем за отслеживание прогресса загрузки файлов. Различаются лишь сценарии срабатывания — в частности, одна из уязвимостей эксплуатируется через особенно длинные имена полей веб-форм.

Ситуацию накаляло то, что все случилось с опережением графика. Сначала детали утекли: в сети появилась демонстрация инструмента PHP2Shell (его приписывают исследователям Calif.IO), в которой запускают команды на серверах с WordPress, Magento, Joomla, Drupal, Laravel и другими популярными платформами. Компания watchTowr подтвердила существование обеих уязвимостей — после этого PHP перенес релиз на сутки раньше. Но и это не помогло: атаки начались еще до публикации патчей, что подтвердил технический директор Cloudflare. Особый сценарий риска — классическая связка Apache с модулем mod_php: там, по данным команды PHP, уязвимость работает в полной мере и срабатывает еще до выполнения кода самого сайта.

Почему это настолько серьезно

Уязвимости в CMS или плагине обычно «чинятся» обновлением конкретного приложения. Здесь дыра сидит в самом интерпретаторе — то есть уязвимо все, что вообще исполняет PHP: сайты, порталы, интернет-магазины, внутренние сервисы, панели управления, коробочные решения. Починить это на уровне кода сайта невозможно — только обновлением PHP на сервере. Исследователи оценивали потенциальный масштаб более чем в 1,3 миллиона доступных из интернета серверов, а на устаревших ветках PHP (8.1 и старше), которые больше не получают официальных исправлений, работает примерно 884 тысячи хостов. Эксперты Sansec еще до релиза прогнозировали масс-атаки «в течение 15 минут» после публикации уязвимости.

Отдельно неприятный штрих: автоматические обновления, на которые так рассчитывают владельцы сайтов, здесь не спасут. Патч относится к самому PHP, а не к CMS — система управления контентом свой код не обновит, как и не найдет ответственного за версию интерпретатора на сервере. И этот эпизод отлично показывает, что скорость эксплуатации выросла качественно: по мнению исследователя Лукаша Олейника (King’s College London), кампании с использованием ИИ способны множить угрозу — «эксплуатация может произойти мгновенно и в масштабе».

Как отреагировал мир — и Россия

Самая наглядная часть сюжета — превентивные отключения. В Нидерландах в офлайн ушли десятки организаций: портал правительства Overheid.nl, порт Роттердама, сайты пяти крупнейших политических партий, больниц и даже национальный центр по кибербезопасности NCSC — он отключил собственный сайт «в качестве меры предосторожности». Аналогичные шаги предпринимали организации в Финляндии. Киберагентства Великобритании, Австралии, Японии и Евросоюза разослали одинаковый совет: обновить PHP немедленно, а если это невозможно — снять сайты с публичного доступа.

В России реакция регулятора тоже последовала быстро: 21 октября обе уязвимости внесены в Банк данных угроз безопасности информации ФСТЭК России отдельными записями — BDU:2026-17191 (это CVE-2026-109618) и BDU:2026-17192 (это CVE-2026-109619). Формулировки в обеих карточках идентичны: использование памяти после освобождения в компоненте session.upload_progress позволяет нарушителю, действующему удаленно, выполнить произвольный код, отправив специально сформированный POST-запрос. Обе записи получили критический уровень опасности — 9,8 балла по шкале CVSS 3.1, статус «подтверждена производителем», а в поле о наличии эксплойта честно сказано: «существует в открытом доступе».

Полезная деталь: регулятор сразу подсказал и временную защиту. В обеих карточках перечислены компенсирующие меры на случай, если поставить патч мгновенно не получается, — от отключения отслеживания загрузок до фильтрации трафика межсетевым экраном уровня приложений. По оценкам ИА iXBT, под угрозой в Рунете — десятки тысяч ресурсов; часть организаций на всякий случай приостанавливала работу своих сервисов. Для субъектов КИИ это прямой сигнал: угроза официально признана регулятором, и отреагировать на нее нужно в логике требований, а не «по настроению».

Чек-лист: что сделать в первую очередь

    1. Провести инвентаризацию: где в организации вообще живет PHP — сайты, порталы, магазины, внутренние сервисы, панели управления, коробочные решения — и какие там версии.
    2. Обновить поддерживаемые ветки до исправленных версий: PHP 8.2.35, 8.3.36, 8.4.27 или 8.5.12 (пакеты также распространяются дистрибутивами и панелями управления).
    3. Для устаревших веток (8.1 и старше): официального патча нет, поэтому необходимы миграция на поддерживаемую версию, бэкпортированное обновление от вендора или вывод сервиса из публичного доступа.
    4. Применить компенсирующие меры из карточек БДУ (если обновить все сразу невозможно): отключить отслеживание прогресса загрузки (session.upload_progress.enabled = Off в php.ini), ограничить доступ к сервису, подключить межсетевой экран уровня приложений (WAF) и систему обнаружения вторжений.
    5. Перезапустить процессы-воркеры PHP (mod_php / PHP-FPM) после обновления: старые процессы продолжают обслуживать запросы, пока не перезапущены.
    6. Проверить журналы на признаки эксплуатации: процессы PHP-воркеров, запускающие оболочки (shell) или загрузчики файлов, — типичный след успешной атаки.
    7. Назначить ответственного за версии PHP: автоматические обновления CMS эту проблему не закрывают.

Если ваша организация — субъект КИИ, добавляется еще один слой: обе уязвимости уже внесены в БДУ ФСТЭК как критические, значит, их стоит учесть в актуальной модели угроз, задокументировать действия по обновлению и при выявлении попыток эксплуатации реагировать как на инцидент — вплоть до информирования Национального координационного центра по компьютерным инцидентам (НКЦКИ) в установленном порядке.

Кто в организации должен это уметь

Заметьте: сам по себе патч ставится за час. Настоящая работа начинается вокруг него — инвентаризация сервисов, оценка применимости угрозы, обновление модели угроз, взаимодействие с регулятором, порядок действий при инциденте. Это ровно профиль специалиста по безопасности значимых объектов КИИ, для которого Банк данных угроз ФСТЭК — рабочий инструмент, а не новость из ленты.

Именно такие компетенции системно закрывает программа профессиональной переподготовки «Безопасность значимых объектов критической информационной инфраструктуры» в Айтиком Академии: от категорирования и модели угроз до реагирования на инциденты и работы с требованиями ФСТЭК. Обучение проходит в формате ДПО, программа согласована со ФСТЭК России, а по итогам выдается официальный диплом о профессиональной переподготовке с внесением данных в ФИС ФРДО.

Разберем вашу ИБ-нормативку — бесплатно:

  • Запишитесь на бесплатную консультацию по ИБ-нормативке: эксперт Айтиком Академии поможет понять, какие требования действуют для вашей организации, как корректно отработать уязвимости и чего регулятор ожидает от субъектов КИИ.
  • Расскажем, как программа переподготовки «Безопасность значимых объектов КИИ» поможет вашей организации выстроить надежную защиту и успешно проходить проверки регуляторов. Оставьте заявку на сайте учебного центра Айтиком Академия.

Бесплатный звонок по России: 8 (800) 550-76-43
Почта: info@itcom-academy.ru

Новости

Все публикации
22.10.2026

Атаки начались раньше патчей: чем опасны критические уязвимости PHP и что делать организациям

06.10.2026

Гонка ИИ-2026: между призывами к остановке и реальными инцидентами

29.09.2026

Профессиональный стандарт «Специалист по обеспечению безопасности значимых объектов критической информационной инфраструктуры»: подробный разбор

24.09.2026

Вышла запись вебинара «Отечественный Linux в ИБ: обзор штатных средств защиты в свете требований Приказа 117»