Команда PHP объявила внеплановый выпуск исправлений для двух критических уязвимостей, каждая из которых получила оценку 9,2 по шкале CVSS 4.0. Публикацию патчей назначили на 21 октября 2026 года, 14:00 UTC — это 17:00 по Москве. Еще до раскрытия подробностей в Нидерландах и Финляндии начали временно отключать некоторые государственные веб-сервисы, а разработчики онлайн-игр предупредили об аварийном обслуживании. Эти меры принимались до подтверждения атак на соответствующие организации и сами по себе не говорят о взломах.
История получила в сообществе название PHP2Shell. В предупреждении европейского центра CERT-EU перечислены два идентификатора — CVE-2026-109618 и CVE-2026-109619. Исследователи считают, что уязвимости потенциально позволяют удаленно выполнять код на веб-сервере без авторизации, однако команда PHP в первоначальном сообщении не раскрыла ни механизм эксплуатации, ни затронутые версии. Появившиеся до официального релиза утверждения о взломе всех сайтов с PHP требуют отдельного подтверждения. CERT-EU рекомендует срочно подготовить обновления или временно изолировать потенциально опасные сервисы.
Что известно о двух уязвимостях PHP
20 октября разработчики опубликовали необычное предупреждение: сразу два серьезных недостатка безопасности должны быть закрыты вне обычного графика релизов. Команда не стала описывать условия эксплуатации до распространения исправлений, но допустила более ранний выпуск, если детали появятся в открытом доступе или начнутся атаки. Название PHP2Shell закрепилось после утечки предварительных сведений и демонстраций исследователей. Оно не было официальным названием проблем в первоначальном бюллетене.
В ряде публикаций утверждалось, что уязвимости затрагивают все версии начиная с PHP 5, но первоначальное сообщение разработчиков не содержало такого перечня. Финский национальный центр кибербезопасности подтвердил идентификаторы CVE и серьезность проблем, отметив, что точное воздействие требует уточнения. Оценка 9,2 описывает возможную тяжесть последствий, а не количество скомпрометированных сайтов или доказанную доступность одного и того же эксплойта на каждой конфигурации.
Нидерланды временно закрыли сайт парламента
21 октября сайт Второй палаты парламента Нидерландов временно вывели из публичного доступа. Представитель парламента подтвердил NL Times, что решение приняли для снижения риска из-за критических ошибок PHP. Издание также сообщило о профилактических отключениях других нидерландских ресурсов. Данных о том, что злоумышленники уже проникли в системы парламента с помощью PHP2Shell, в опубликованном объяснении нет.
Для государственных сайтов временная недоступность неприятна, но может оказаться более управляемым решением, чем длительное сохранение незащищенного веб-приложения с неизвестным сценарием атаки. При этом каждую организацию следует рассматривать отдельно: наличие предупреждения CERT не означает, что все сайты страны работают на затронутой сборке PHP или были одновременно выключены. Подтвержденная новость относится прежде всего к решению об ограничении доступа, а не к последствиям состоявшейся кибератаки.
В Финляндии остановили часть публичных веб-сервисов
Финский государственный IT-центр Valtori сообщил о временном отключении ряда общедоступных сервисов, связанных с обнаруженными проблемами в PHP. Среди упомянутых ресурсов оказался сайт Национальной земельной службы. Государственное информационное агентство STT и редакция Yle описали происходящее как профилактическое ограничение до устранения риска. Речь идет об отдельных сайтах и услугах, а не о прекращении работы всей государственной цифровой инфраструктуры.
Университет Тампере и TAMK также предупредили, что могут временно закрывать собственные PHP-сервисы или оставлять доступ только через VPN. Такое решение зависит от используемых приложений и возможностей быстро установить исправления. В результате одинаковое предупреждение об уязвимости вызывает разные реакции: одни организации ограничивают публичный доступ, другие готовят срочное обновление, третьи оставляют отдельные системы внутри защищенной сети.
Path of Titans предупредила об отключении серверов
Разработчики многопользовательской игры Path of Titans через сообщество предупредили об экстренных технических работах, способных затронуть сайт, лаунчер, покупки и игровые серверы. Объявление допускало простой продолжительностью до трех дней, но это максимальная оценка возможных работ, а не доказательство трехдневной остановки. Компания подчеркнула, что действует заранее и не сообщает о подтвержденной компрометации данных. Сообщение команды появилось накануне планового релиза PHP.
В социальных сетях к PHP2Shell начали привязывать также режим чтения 4chan, технические работы DeviantArt и отключение Rule34. По состоянию на подготовку материала надежного подтверждения от операторов всех трех сервисов, что причина ограничений именно в уязвимостях PHP, не найдено. В случае DeviantArt пользователи действительно сообщали о странице техобслуживания, но совпадение дат не доказывает причину. Указывать все эти площадки в перечне официально подтвержденных профилактических отключений было бы преждевременно.
Почему администраторы не ждут появления патча
PHP работает на серверной стороне и лежит в основе множества систем управления сайтами, магазинов и корпоративных порталов. Если дефект содержится в интерпретаторе, обновление только WordPress, темы оформления или отдельного модуля не исправляет сам PHP на сервере. Реальная установка может включать несколько версий интерпретатора: системный пакет, отдельный PHP-FPM, контейнеры и приложения с собственной сборкой. Поэтому перед обновлением приходится установить, что именно обслуживает публичные запросы, и проверить его после замены.
Рекомендации CERT-EU предусматривают поиск всех доступных извне PHP-приложений, подготовку безопасного обновления и временную изоляцию тех систем, которые невозможно быстро исправить. Организации могут ограничивать доступ через VPN, отключать необязательные публичные интерфейсы и сокращать полномочия сервисных учетных записей. Эти меры уменьшают риск до установки патча, но не гарантируют защиты от пока не раскрытого сценария эксплуатации. Назвать одну настройку PHP универсальным исправлением на основании предварительных публикаций нельзя.
Что нужно проверить после официального релиза
Разработчики PHP обещали опубликовать технические подробности, затронутые версии и номера исправленных сборок одновременно с выпуском обновлений. На момент последней проверки официального архива релиз еще не был отражен в списке новостей, поэтому опубликованные сторонними сайтами номера сборок следует считать предварительными. Администраторам потребуется сверить новый бюллетень, обновить действующие поддерживаемые ветки и отдельно оценить неподдерживаемые версии, для которых обычный официальный патч может не появиться.
Дальнейшая картина будет зависеть от реальных данных об эксплуатации и скорости обновлений. Два критических CVE могут создавать высокий риск даже без широко известных успешных атак, но утверждение об остановке «всего интернета» не подтверждается имеющимися фактами. Пока достоверно установлены предупреждение разработчиков, несколько профилактических отключений и необходимость срочной проверки инфраструктуры.
Вопросы и ответы (FAQ)
Что такое PHP2Shell?
PHP2Shell — неофициальное название двух критических уязвимостей PHP: CVE-2026-109618 и CVE-2026-109619. Исследователи описывают возможное удаленное выполнение кода на сервере.
Когда назначен выпуск исправлений PHP?
На 21 октября 2026 года, 14:00 UTC, то есть 17:00 по московскому времени. Факт выхода и конкретные исправленные сборки необходимо проверять на php.net.
Все сайты с PHP можно взломать через PHP2Shell?
Официальный полный перечень затронутых версий и условий эксплуатации первоначально не публиковался. Использование PHP само по себе не доказывает доступность конкретного сайта для такой атаки.
Почему парламент Нидерландов закрыл сайт?
Это временная предупредительная мера, принятая до установки исправлений. Подтверждения взлома парламента через эти ошибки нет.
Финляндия отключила все государственные интернет-сервисы?
Нет. Сообщалось об ограничениях отдельных публичных веб-ресурсов, а не об общей остановке всех электронных государственных услуг.
Достаточно ли обновить WordPress или Drupal?
Если недостаток находится в интерпретаторе PHP, обновлять нужно именно PHP в работающем веб-окружении, а не только приложение, которое его использует.
Есть новость? Станьте автором.
Мы сотрудничаем с независимыми исследователями и специалистами по кибербезопасности. Отправьте нам новость или предложите статью на рассмотрение редакции.
