21 октября 2026 года разработчики PHP выпустили экстренные исправления для двух критических уязвимостей с оценкой 9,2 по CVSS 4.0. Из-за риска удаленного выполнения кода без авторизации в Германии, Нидерландах и Финляндии временно закрывали сайты государственных учреждений, больниц и университетов. Исправления уже доступны в PHP 8.2.35, 8.3.36, 8.4.27 и 8.5.12. В официальном сообщении команда проекта призвала устанавливать обновления немедленно, поскольку ни одна временная настройка не дает полноценной защиты.
Две проблемы получили идентификаторы CVE-2026-109618 и CVE-2026-109619, а в сообществе за ними закрепилось название PHP2Shell. Они затрагивают внутренние механизмы обработки запросов в самом PHP, поэтому потенциально опасны независимо от конкретной CMS или ее плагинов. Риск особенно велик для Apache с mod_php: разработчики продемонстрировали выполнение атаки до запуска кода веб-приложения. В отдельных конфигурациях проблема относится также к PHP-FPM, php-cgi, FrankenPHP и LiteSpeed.
Что известно о двух уязвимостях PHP
Предварительное предупреждение PHP вышло 20 октября, а подробный бюллетень и исправления — на следующий день. Первая уязвимость, CVE-2026-109618, возникает при некорректной обработке нехватки памяти: часть внутренних данных запроса может остаться инициализированной не полностью, после чего PHP ошибочно обрабатывает их при очистке. Вторая, CVE-2026-109619, связана с сохранением состояния запроса после освобождения памяти; следующий запрос к тому же рабочему процессу может использовать устаревшие данные. Обе проблемы могут приводить к запуску кода без предварительного входа в систему.
Вендор считает потенциально уязвимыми PHP-системы, обрабатывающие веб-запросы, а не только сайты с конкретной CMS. Уязвимые ветки 8.2–8.5 получили обновления, а PHP 8.1 и более ранние версии уже не поддерживаются основным проектом. Для некоторых старых веток доступны минимальные исправления исходного кода, а поставщики Linux с длительной поддержкой могут отдельно переносить патчи в свои пакеты. Поэтому фактическую защищенность сервера следует сверять не только с номером версии, но и с бюллетенем поставщика.
Германия временно отключила сайты больниц и ведомств
21 октября в Германии временно закрывали сайты больниц, университетов и государственных органов. В числе названных NTV учреждений — берлинская клиника «Шарите», Федеральное министерство строительства и Федеральный верховный суд. Недоступными также становились веб-ресурсы властей Баден-Вюртемберга и города Майнц. Немецкий телеканал связывает эти ограничения с профилактической реакцией на предупреждение о PHP, а не с подтвержденными взломами перечисленных организаций.
Федеральное ведомство информационной безопасности Германии BSI присвоило угрозе уровень 3 — оранжевый, обозначающий чрезвычайно высокий риск и необходимость немедленных защитных действий. В опубликованном предупреждении ведомство рекомендовало временно отключать веб-серверы от интернета, когда патч невозможно установить оперативно. Представитель «Шарите» отдельно подтвердил, что ограничения касались сайта и онлайн-записи, но не медицинской помощи пациентам. Университетские клиники Гейдельберга и Мангейма также описали свои отключения как профилактические.
Нидерланды временно закрыли сайт парламента
21 октября сайт Второй палаты парламента Нидерландов временно вывели из публичного доступа. Представитель парламента подтвердил NL Times, что решение приняли для снижения риска из-за критических ошибок PHP. Издание также сообщило о профилактических отключениях других нидерландских ресурсов. Данных о том, что злоумышленники уже проникли в системы парламента с помощью PHP2Shell, в опубликованном объяснении нет.
Для государственных сайтов временная недоступность неприятна, но может оказаться более управляемым решением, чем длительное сохранение незащищенного веб-приложения с неизвестным сценарием атаки. При этом каждую организацию следует рассматривать отдельно: наличие предупреждения CERT не означает, что все сайты страны работают на затронутой сборке PHP или были одновременно выключены. Подтвержденная новость относится прежде всего к решению об ограничении доступа, а не к последствиям состоявшейся кибератаки.
В Финляндии остановили часть публичных веб-сервисов
Финский государственный IT-центр Valtori сообщил о временном отключении ряда общедоступных сервисов, связанных с обнаруженными проблемами в PHP. Среди упомянутых ресурсов оказался сайт Национальной земельной службы. Государственное информационное агентство STT и редакция Yle описали происходящее как профилактическое ограничение до устранения риска. Речь идет об отдельных сайтах и услугах, а не о прекращении работы всей государственной цифровой инфраструктуры.
Университет Тампере и TAMK также предупредили, что могут временно закрывать собственные PHP-сервисы или оставлять доступ только через VPN. Такое решение зависит от используемых приложений и возможностей быстро установить исправления. В результате одинаковое предупреждение об уязвимости вызывает разные реакции: одни организации ограничивают публичный доступ, другие готовят срочное обновление, третьи оставляют отдельные системы внутри защищенной сети.
Path of Titans предупредила об отключении серверов
Разработчики многопользовательской игры Path of Titans через сообщество предупредили об экстренных технических работах, способных затронуть сайт, лаунчер, покупки и игровые серверы. Объявление допускало простой продолжительностью до трех дней, но это максимальная оценка возможных работ, а не доказательство трехдневной остановки. Компания подчеркнула, что действует заранее и не сообщает о подтвержденной компрометации данных. Сообщение команды появилось накануне планового релиза PHP.
На пике обсуждения сообщения об обслуживании 4chan, DeviantArt и Rule34 также связывали с PHP2Shell. Однако совпадение времени отключения с выходом патчей само по себе не подтверждает причину работ или состоявшийся взлом. В список официально объясненных профилактических мер редакция включает только случаи, для которых нашла подтверждение от операторов или надежных информационных агентств.
Почему сайт нужно обновить даже после отключения
PHP работает на серверной стороне и лежит в основе множества систем управления сайтами, магазинов и корпоративных порталов. Если дефект содержится в интерпретаторе, обновление только WordPress, темы оформления или отдельного модуля не исправляет сам PHP на сервере. Реальная установка может включать несколько версий интерпретатора: системный пакет, отдельный PHP-FPM, контейнеры и приложения с собственной сборкой. Поэтому перед обновлением приходится установить, что именно обслуживает публичные запросы, и проверить его после замены.
Разработчики PHP прямо предупреждают: ни изменение настройки интерпретатора, ни веб-фильтрация не закрывают обе проблемы полностью. Ограничение доступа через VPN, отключение необязательных публичных точек входа и правила на внешнем прокси могут временно уменьшить поверхность атаки. Для полной защиты нужно обновить PHP во всех рабочих окружениях и перезапустить обслуживающие запросы процессы. Проверять следует не только консольную версию, но и PHP-FPM, контейнеры, Apache-модули и отдельные приложения.
Какие версии PHP исправлены и были ли атаки
Выпущены PHP 8.2.35, 8.3.36, 8.4.27 и 8.5.12 — именно они устраняют CVE-2026-109618 и CVE-2026-109619 в поддерживаемых ветках. Пользователи дистрибутивов и LTS-сборок должны установить пакеты с исправлениями от своего поставщика: номер такого пакета может отличаться от исходного релиза. PHP 8.1 и старше уже не получают обычные обновления безопасности проекта, хотя разработчики предоставили минимальные исправления исходников для веток 7.4, 8.0 и 8.1. PHP 8.2 достигнет конца срока поддержки 31 декабря 2026 года.
22 октября Amazon Threat Intelligence сообщила, что ее сеть ловушек MadPot наблюдала попытку эксплуатации PHP2Shell еще 17 октября, за четыре дня до выхода патчей. После публичного раскрытия специалисты зафиксировали дополнительные попытки, а в AWS назвали эксплуатацию уязвимостей распространенной. Телеметрия ловушек доказывает активность атакующих, но не позволяет приписывать им взлом конкретной больницы или ведомства. Администраторам стоит проверять журналы и другие признаки компрометации начиная как минимум с 17 октября.
Вопросы и ответы (FAQ)
Что такое PHP2Shell?
PHP2Shell — принятое в сообществе название двух критических уязвимостей PHP, CVE-2026-109618 и CVE-2026-109619. Разработчики подтвердили возможность удаленного выполнения кода без авторизации.
Какие версии PHP уже исправлены?
21 октября выпущены PHP 8.2.35, 8.3.36, 8.4.27 и 8.5.12. Исправления также могут поставляться в специальных пакетах Linux-дистрибутивов и LTS-вендоров.
Все сайты с PHP можно взломать через PHP2Shell?
Под угрозой могут находиться разные установки PHP, обслуживающие веб-запросы, включая PHP-FPM, mod_php и другие серверные варианты. Версии с исправлениями устраняют обе известные проблемы.
Почему парламент Нидерландов закрыл сайт?
Это временная предупредительная мера, принятая до установки исправлений. Подтверждения взлома парламента через эти ошибки нет.
Почему отключались сайты клиник и властей Германии?
BSI предупредило о чрезвычайно высоком риске. «Шарите», органы власти и университеты временно ограничили доступ к отдельным сайтам до установки обновлений; это не означало, что их уже взломали.
Достаточно ли обновить WordPress или Drupal?
Если недостаток находится в интерпретаторе PHP, обновлять нужно именно PHP в работающем веб-окружении, а не только приложение, которое его использует.
Есть новость? Станьте автором.
Мы сотрудничаем с независимыми исследователями и специалистами по кибербезопасности. Отправьте нам новость или предложите статью на рассмотрение редакции.
