ФСБ советует организациям отключать сайты из-за «дыры» в PHP

Центр Федеральной службы безопасности (ФСБ) России дал рекомендации государственным органам и бизнесу из-за выявленных ИТ-уязвимостей сайтов, пишет РБК.

23 октября 2026 г. Национальный координационный центр по компьютерным инцидентам (НКЦКИ) при ФСБ призвал российским организации временно ограничивать доступ к уязвимым веб-ресурсам, вплоть до их полного отключения, если оперативное устранение проблем безопасности невозможно. Поводом стали две критические ИТ-уязвимости в языке программирования PHP, обнаруженные с применением технологий искусственного интеллекта (ИИ), предупреждал CNews.

По предоставленным техническим данным, они затрагивают версии PHP с 5.4 до 8.5.4 включительно. ИТ-уязвимости связаны с ошибкой use-after-free - обращением к области памяти после ее освобождения. Опасность этих брешей в том, что они срабатывают на уровне ядра интерпретатора еще до того, как управление дойдет до первой строчки вашего index.php. Достаточно, чтобы сервер просто принимал HTTP‑запросы.

Предупреждение касается владельцев объектов критической информационной инфраструктуры (КИИ). В эту категорию входят ИТ-системы, обеспечивающие работу стратегически важных отраслей: энергетики, транспорта, связи, банковской сферы и здравоохранения. Сообщение направлено через государственную систему обнаружения, предупреждения и ликвидации последствий компьютерных атак (ГосСОПКА).

ФСБ советует объектам КИИ временно отключать сайты из-за найденных ИТ-уязвимостей, если нельзя быстро устранить дыры в PHP

Специалистам рекомендуется установить актуальную исправленную версию PHP. После обновления следует провести антивирусную проверку серверов и проанализировать журналы событий на предмет признаков ИТ-компрометации. При обнаружении подозрительной активности данные необходимо оперативно передать дежурным специалистам ГосСОПКА.

По данным НКЦКИ, в случае невозможности быстрого обновления программного обеспечения (ПО) организациям предлагается временно закрыть внешний доступ к уязвимым веб-серверам. Такая мера направлена на снижение вероятности проникновения злоумышленников до устранения угрозы.

Выявленные ИТ-уязвимости представляют повышенную опасность, поскольку при определенных условиях позволяют атакующим удаленно выполнять команды на сервере без прохождения авторизации. Это создает ИТ-угрозу полного контроля над сайтом и утечки конфиденциальных данных, включая пароли и служебную информацию.

Безопаснсоть веб-проектов

По информации CNews, в сети опубликованы технические материалы об эксплуатации ИТ-уязвимостей. По данным исследователей, для распространенных сборок PHP подготовлены параметры, упрощающие настройку эксплоита.

«В российском сегменте интернета обнаружено около 50 тыс. потенциально уязвимых веб-приложений на PHP. Организациям рекомендуется заранее проверить используемые версии PHP и подготовиться к установке обновлений сразу после их выхода», - предупредил руководитель платформы Bi.Zone WAF Алексей Романов.

Bi.Zone WAF фильтрует HTTP-запросы до того, как они достигают веб-приложения. Для CVE-2026-109618 и CVE-2026-109619 специалисты по кибербезопасности разработали правило, которое выявляет типовые варианты атак по характерным признакам в теле запроса. PHP-разработчики выпустили патчи для поддерживаемых веток (8.2.35, 8.3.36, 8.4.27, 8.5.12) и заявили: «Единственный 100% способ защиты - обновление, а сценарий наивысшего риска - это Apache с mod_php». Оно помогает снизить риск эксплуатации ИТ-уязвимостей, но не гарантирует блокировку всех вариантов атак: измененный набор данных или другой способ доставки запроса могут обойти правило.

Критические ИТ-уязвимости

Две ИТ-уязвимости CVE-2026-109618 и CVE-2026-109619, исправления к которым, как и обещали разработчики PHP, уже были выпущены, получили оценку в 9,2 из 10 баллов по одной из версий шкалы оценки опасности. К ним уже появились публичные технические материалы об эксплуатации.

Low/no-code-революция: новая архитектура цифровой независимости Конференция

CVE-2026-109618 - при превышении входящим запросом лимита memory limit внутренний менеджер памяти Zend активирует обработчик нехватки памяти (OOM) и прерывает выполнение через longjmp(). Если исчерпание памяти происходит непосредственно в процессе разбора тела запроса (например, при обработке multipart/form-data), внутренние структуры парсера остаются инициализированными лишь частично. Процедура очистки (shutdown) воспринимает неинициализированные («мусорные») указатели как корректные адреса и выполняет для них операцию efree(). Поскольку к этому моменту куча (heap) может быть заранее размечена данными злоумышленника (техника Heap Feng Shui), возникает возможность выполнения произвольного кода.

CVE-2026-109619 - при аварийном завершении запроса из-за фатальной ошибки или превышения лимита max_execution_time PHP также прерывает выполнение через longjmp(). В определенных условиях, в частности при включенном механизме отслеживания загрузки сессий (session.upload_progress), глобальное состояние рабочего процесса сохраняет указатель на уже освобожденную память (Use-After-Free / Stale Pointer). Когда следующий HTTP-запрос поступает в тот же воркер, PHP обращается к этому «грязному» указателю еще на этапе инициализации запроса (RINIT).

Ошибки обнаружили специалисты по кибербезопасности компаний Calif и Wiz (принадлежащая Alphabet). Они сообщили, что им удалось найти эти ИТ-уязвимости с помощью онлайн-инструментов с технологией искусственного интеллекта (ИИ) - как собственных ИТ-разработок компании, так и Google Gemini 4 Argon и OpenAI GPT-5.6 Sol. По их сведениям, уязвимости оставались неизвестными более десяти лет. В Wiz назвали их наиболее значимыми из тех, что были выявлены с помощью ИИ. Исследователи оценивают потенциальный охват примерно в 70% веб-ресурсов.

PHP широко применяется в популярных сontent management system (CMS) - WordPress, Drupal и Joomla. По данным CERT-EU, проблема затрагивает версии языка начиная с PHP 5 - 2004 г. Для актуальных релизов уже выпущены исправления; владельцам устаревших версий рекомендуется перейти на поддерживаемые выпуски.