PHP2Shell: в Европе отключают государственные сайты. Что будет в России?

21 октября 2026 года команда PHP выпустила экстренные обновления, закрывающие две критические уязвимости: CVE-2026-109618 и CVE-2026-109619. Каждая получила оценку 9,2 по CVSS 4.0. При определённых условиях они позволяют злоумышленнику выполнять произвольный код на сервере без авторизации.

На первый взгляд это очередная новость о критической уязвимости, но здесь есть нюанс: ошибки обнаружены в самом PHP, а не в конкретном приложении или библиотеке. Следовательно, под угрозой могут оказаться сайты на Laravel, Drupal(не знаю того, кто на нем еще пишет), 1С-Битрикс и других системах, использующих PHP.

В Германии, Франции, Нидерландах, Бельгии и Финляндии организации начали временно отключать государственные и другие ресурсы. Для того чтобы устранить уязвимости, установить необходимые обновления и проверить безопасность систем перед возобновлением работы.

Такие меры сами по себе болезненны, так как граждане временно теряют доступ к государственным и медицинским услугам, бизнес сталкивается с простоями, а инженерам приходится проводить внеплановые обновления(к счастью, не в пятницу). Если уязвимость приведёт к компрометации персональных данных, возникнут и юридические последствия.

В США отреагировали не менее серьёзно. Агентство национальной безопасности выпустило предупреждение, рекомендовав организациям срочно обновить PHP, а при невозможности оперативно установить исправления необходимо временно отключить уязвимые системы. Cloudflare уже сообщила о попытках атак и развернула дополнительные защитные правила для своих клиентов.

В отличие от Европы, где некоторые государственные сайты пришлось временно отключить, сопоставимых массовых отключений в США пока не зафиксировано. Однако это не означает, что их инфраструктура менее уязвима.

«1С-Битрикс» уже рекомендовал администраторам подготовиться к срочному обновлению PHP. Предупреждения также опубликовали российские специалисты по информационной безопасности.

Отдельного внимания заслуживают старые корпоративные сайты и системы, которые давно не обновлялись. Они могут зависеть от неподдерживаемых версий PHP, а переход на актуальную ветку иногда требует изменений в приложении.

В случае утечки персональных данных российские компании обязаны уведомить об этом одну организацию.

У PHP2Shell есть ещё одна интересная сторона. Как сообщила сама PHP Foundation, первые признаки одной из проблем были обнаружены ещё в 2024 году. Однако тогда разработчики не нашли конкретного способа эксплуатации. Работа над исправлением затянулась из-за сложности изменений, внутренних процессов принятия решений и ограниченных ресурсов команды безопасности.

И здесь возникает вопрос: если проблему обнаружили два года назад, можно ли быть уверенными, что за это время никто другой не нашёл способ её эксплуатации? Ведь отсутствие известных атак ещё не означает, что их не было.

Эта история поднимает и другой вопрос: насколько сильно современный интернет зависит от небольших команд разработчиков, на плечах которых лежит поддержка критически важных open-source-проектов?

И Европа, и Россия используют одни и те же языки(к счастью, санкций на опенсорс нет). Но скорость реагирования зависит уже от конкретных организаций: могут ли быстро развернуть исправления, есть ли у них процедуры отката если что-то пойдет не так, готовы ли они временно отключить сервис ради безопасности(или деньги важнее).

Главный риск PHP2Shell не в том, что все сайты будут взломаны. Он в том, что многие организации могут оказаться не готовы быстро исправить критическую проблему в технологии, от которой зависит их работа.

Мой тг канал @tsymbaldev