НКЦКИ потребовал обновить PHP на объектах КИИ

Национальный координационный центр по компьютерным инцидентам (НКЦКИ), работающий при ФСБ России, потребовал от владельцев объектов критической информационной инфраструктуры срочно устранить опасные уязвимости PHP и проверить серверы на признаки взлома. Если обновить программное обеспечение быстро не получается, организациям предложили ограничить доступ к уязвимым веб-серверам из интернета вплоть до их временного отключения. О письме, направленном вечером 22 октября 2026 года через ГосСОПКА, сообщил РБК; редакция получила копию документа, а его подлинность подтвердили три адресата.

Причиной стали две ошибки в ядре PHP — CVE-2026-109618 и CVE-2026-109619, известные под общим названием PHP2Shell. Обе получили 9,2 балла по шкале CVSS 4.0 и при определенных условиях позволяют выполнить код на сервере без авторизации. Разработчики PHP выпустили исправления 21 октября, за день до рассылки НКЦКИ. Теперь главная задача администраторов — убедиться, что патчи установлены именно в работающих веб-окружениях и злоумышленники не успели воспользоваться уязвимостями.

Что указано в письме НКЦКИ

Предупреждение касается информационных систем и сетей связи, отнесенных к критической информационной инфраструктуре: среди их владельцев есть государственные органы, банки, операторы связи, энергетические, транспортные и медицинские организации. Документ направлен через ГосСОПКА — государственную систему обнаружения, предупреждения и ликвидации последствий компьютерных атак. Это адресное указание для владельцев объектов КИИ, а не распоряжение автоматически закрыть все российские сайты на PHP.

НКЦКИ предписал установить исправленную версию интерпретатора, после обновления проверить серверы антивирусными средствами и проанализировать журналы на возможные следы атаки. При невозможности быстро установить патч в письме говорится о необходимости рассмотреть временное ограничение внешнего доступа вплоть до отключения уязвимого веб-сервера. Сведения о подозрительных инцидентах адресатам необходимо передавать в дежурный центр ГосСОПКА. Отдельной статистики фактически отключенных сайтов российских организаций НКЦКИ не представил.

Какие версии PHP уже исправлены

В опубликованном 22 октября бюллетене НКЦКИ перечислены исправленные версии PHP 8.2.35, 8.3.36, 8.4.27 и 8.5.12. Там же рекомендовано проверить все компоненты инфраструктуры, где используется PHP: обычные сайты, серверные панели и сторонние приложения. Для временного снижения риска центр упоминает отключение механизма session.upload_progress и ограничения на обработку multipart-запросов, но такие меры нельзя считать полноценной заменой обновлению. Полный перечень рекомендаций есть в публичном сообщении НКЦКИ.

В официальном бюллетене PHP разработчики уточнили, что ошибки относятся к управлению памятью и обработке состояния запроса. Первая может привести к повреждению данных при неудачном выделении памяти, вторая — к повторному использованию уже освобожденной памяти. Риск есть у разных вариантов серверного запуска PHP, включая PHP-FPM, Apache с mod_php и php-cgi; для mod_php исследователи продемонстрировали атаку без запуска кода приложения. Уязвимости находятся в самом интерпретаторе, поэтому обновление одного WordPress, Drupal или «1С-Битрикс» их не устраняет.

В поддерживаемых ветках исправления доступны в перечисленных версиях. Владельцам Linux-серверов стоит учитывать, что поставщики дистрибутивов иногда переносят патчи в пакеты с собственными номерами сборок: ориентироваться следует на уведомление своего вендора, а не только на число, которое показывает команда php -v. Для веток PHP 8.1 и старше регулярная поддержка основного проекта завершена, хотя для некоторых старых веток опубликованы минимальные изменения исходного кода. После установки пакета необходимо перезапустить процессы, обслуживающие реальные веб-запросы.

Почему проверка после обновления обязательна

Патч закрывает путь для новой эксплуатации, но не удаляет последствия уже состоявшегося проникновения. Если до обновления атакующий успел разместить вредоносный файл, создать учетную запись или скопировать ключи доступа, замена PHP сама по себе не устранит эти действия. Поэтому НКЦКИ требует проверить серверы и журналы: особенно важны необычные запросы, новые исполняемые файлы, неожиданные задачи и изменения прав доступа. Отсутствие предупреждения от антивируса не дает полной гарантии, что данные остались нетронутыми.

Для организаций, которые не могут быстро обновить производственные системы, временное ограничение доступности превращается в отдельное решение по непрерывности бизнеса. Внешнее подключение можно закрыть до завершения работ, сохранив необходимые внутренние процессы, если это допускает архитектура приложения. Но ограничительные настройки и сетевые фильтры не перекрывают все варианты PHP2Shell. Европейская служба CERT-EU также рекомендует изолировать доступные из интернета приложения, пока исправление не установлено и не проверено.

Почему предупреждение затрагивает так много сайтов

Распространенность PHP объясняет масштаб реакции, но статистику его использования важно читать правильно. По данным W3Techs на 23 октября, PHP применяется на 90,8% русскоязычных сайтов, для которых сервис смог определить серверный язык программирования. В общей мировой выборке с известным серверным языком доля составляет 69,3%. Эти цифры не означают, что 90,8% сайтов в России уже уязвимы или что столько же ресурсов пострадало от атак.

После появления предупреждения об уязвимостях правительства и операторы крупных платформ в разных странах предпочли временно ограничить работу отдельных сервисов до установки патчей. Подобные меры принимались в Европе и Азии, включая государственные веб-ресурсы, доступность которых зависит от PHP. Причина отключения в этих случаях — профилактика, а не обязательно подтвержденное проникновение злоумышленников. Для России новое письмо расширило такую реакцию на адресатов из критической инфраструктуры.

Какая роль у ИИ в обнаружении ошибок

В сообщениях об инциденте встречается формулировка, что обе уязвимости нашел искусственный интеллект. История сложнее: PHP Foundation пишет, что первые признаки проблемы с обработкой нехватки памяти разработчик ядра заметил еще в 2024 году после внешнего аудита. Позднее исследователи и компании, включая OpenAI и Wiz, обнаружили дополнительные пути эксплуатации, а новые инструменты помогали воспроизводить и проверять ошибки. Исправления потребовали работы команды PHP и согласования изменений в нескольких поддерживаемых ветках.

Публикация патчей 21 октября снизила риск для обновленных систем, однако развертывание исправлений в крупных инфраструктурах может занять больше одного рабочего дня. Именно этим объясняется требование НКЦКИ сочетать обновления, проверку признаков взлома и временное ограничение внешнего доступа там, где оперативное исправление пока невозможно.

Вопросы и ответы (FAQ)

НКЦКИ обязал отключить все сайты на PHP?

Нет. Письмо адресовано владельцам объектов КИИ. Если обновление невозможно выполнить быстро, им предписано рассмотреть временное ограничение внешнего доступа вплоть до отключения уязвимого сервера.

Какие версии PHP устраняют две критические ошибки?

PHP 8.2.35, 8.3.36, 8.4.27 и 8.5.12 либо соответствующие исправленные сборки поставщиков операционных систем.

Что такое PHP2Shell?

Общее название CVE-2026-109618 и CVE-2026-109619 — двух ошибок в механизмах работы с памятью PHP, позволяющих при определенных условиях удаленно выполнить код без авторизации.

Почему после обновления нужна антивирусная проверка?

Установка патча не отменяет действия, которые злоумышленник мог успеть выполнить до обновления. Анализ файлов и журналов помогает обнаружить признаки уже произошедшей компрометации.

Можно ли ограничиться обновлением CMS?

Нет. Уязвимости расположены в самом PHP. Обновлять нужно интерпретатор или пакет поставщика, который фактически обслуживает веб-запросы.

Что означают цифры 90,8% и 69,3%?

Это доля PHP среди сайтов с определенным серверным языком в статистике W3Techs: отдельно для русскоязычных ресурсов и для мировой выборки. Это не доля взломанных сайтов.