Уязвимость PHP2Shell: штрафы за утечку до 15 млн. рублей и 8 шагов для владельца сайта

Если сайт или сервис работает на PHP, а это большинство сайтов в России, его нужно обновить уже сейчас. Обновление — задача ИТ-отдела, но последствия юридические: от того, как компания закроет уязвимость, зависит ее ответственность за персональные данные клиентов.

21 октября 2026 года разработчики PHP выпустили экстренные обновления против двух критических уязвимостей: CVE-2026-109618 и CVE-2026-109619. Вместе их называют PHP2Shell. Обе получили 9,2 балла из 10 по шкале CVSS 4.0.

Уязвимости находятся в ядре интерпретатора PHP. Через них злоумышленник без авторизации может удаленно выполнить на сервере любой код. Так он получает доступ к файлам и базам данных, может сломать сайт или использовать сервер для атак на другие системы.

Уязвимы все версии PHP ниже 8.2.35, 8.3.36, 8.4.27 и 8.5.12. Значит, под угрозой сайты и приложения на WordPress, 1С-Битрикс, Drupal, OpenCart, Laravel и других популярных платформах. Обновить CMS или фреймворк недостаточно: уязвим сам PHP на сервере, и код сайта это не исправит.

Первые попытки атак уже зафиксированы. Работу эксплойта показали на серверах с WordPress, MediaWiki, phpBB, Magento, Joomla, Laravel, Symfony, Drupal и WHMCS.

Разработчики PHP опубликовали настройки, которые снижают риск отдельных сценариев атаки. Но закрывает уязвимость только обновление.

Почти любой сайт собирает имена, телефоны, email, адреса доставки или данные аккаунтов. Поэтому компания — оператор персональных данных по Закону № 152-ФЗ. Она обязана защищать эти данные (ст. 18.1 и 19 Закона) и отвечает за утечку, даже если сайт взломали посторонние.

Из-за самой уязвимости — нет. Обязанность появляется при утечке, то есть когда установлено, что персональные данные неправомерно или случайно передали, распространили или к ним получили доступ, и это нарушило права людей (ч. 3.1 ст. 21 Закона № 152-ФЗ).

Если утечка установлена, оператор подает в Роскомнадзор через портал ведомства два уведомления:

Главный риск — поздно узнать об утечке. Поэтому после обновления сервер нужно проверить на признаки взлома. Если следы доступа к данным нашлись, 24 часа отсчитываются с момента их обнаружения.

Утечку может первым обнаружить не компания, а государство: например, НКЦКИ при мониторинге сети. Тогда к штрафу за саму утечку может добавиться штраф за то, что компания не уведомила РКН.

Субъекты критической информационной инфраструктуры дополнительно сообщают о компьютерных инцидентах в НКЦКИ по правилам Закона № 187-ФЗ, и сроки там короче.

С 30 мая 2025 года за утечки действуют отдельные штрафы по ст. 13.11 КоАП. Размер зависит от числа пострадавших людей или скомпрометированных идентификаторов, то есть уникальных записей о человеке в системе оператора. Штрафы для компаний:

Небольшая утечка, до тысячи человек, тоже не проходит без последствий: суды квалифицируют ее как обработку данных без законных оснований по ч. 1 ст. 13.11 КоАП. Это 150–300 тыс. руб. для компании.

Должностных лиц штрафуют отдельно: например, за неуведомление РКН — на 400–800 тыс. руб.

Суды прямо связывают утечку с необновленным ПО. Компанию признают виновной, если она могла соблюсти требования, но не приняла все зависящие от нее меры (ч. 2 ст. 2.1 КоАП). Известная, но не закрытая уязвимость — как раз такой случай.

Уязвимость в 1С-Битрикс, которую не закрыл подрядчик. Сайт организации поддерживал подрядчик. Утечка произошла через уязвимость в «1С-Битрикс: Управление сайтом»: подрядчик вовремя не установил исправления, которые рекомендовал разработчик. Отвечать все равно пришлось оператору: он несет ответственность за того, кому поручил обработку данных (ч. 5 ст. 6 Закона № 152-ФЗ). Суд назначил штраф и отказался заменить его предупреждением, потому что данные остались в открытом доступе и угроза вреда сохранялась (постановление мирового судьи судебного участка № 422 Таганского района Москвы от 06.09.2023 по делу № 05-1003/422/2023).

Критические уязвимости у операторов связи. В 2026 году арбитражные суды рассмотрели дела операторов связи, у которых утекли данные абонентов (решения АС Кемеровской области от 28.04.2026 по делу № А27-23786/2025 и АС Иркутской области от 12.05.2026 по делу № А19-25808/2025). По отчету о расследовании, злоумышленники вошли через сервер с ПО, в котором была критическая уязвимость. Суды указали, что компании пренебрегали требованиями информационной безопасности, в том числе использовали ПО с критическими уязвимостями. Вину установили, но в обоих случаях ограничились предупреждением.

Предупреждение вместо штрафа возможно, но не гарантировано. Шансов больше у тех, кто может документами показать, что принимал меры защиты.

Политику обработки персональных данных на сайте менять не нужно. Но PHP2Shell — хороший повод проверить внутренние документы, которые подтверждают, что компания действительно защищает данные.

Порядок реагирования на инциденты. Внутренний документ, который определяет, кто фиксирует инцидент, проводит расследование и подает уведомления в РКН. Если его нет, отведенные законом 24 часа уйдут на выяснение, кто что должен делать.

Документы о мерах защиты. Акты внутреннего контроля, журналы обновлений ПО, документы о проверке защищенности систем. Закон требует не только принимать меры, но и контролировать их (ст. 18.1 и ч. 2 ст. 19 Закона № 152-ФЗ).

Договоры с подрядчиками и хостингом. Проверьте, кто обязан обновлять системное ПО, в какой срок он реагирует на критические уязвимости и как сообщает об инцидентах. Если у подрядчика есть доступ к персональным данным, нужно поручение на обработку с требованиями к их защите (ч. 3 ст. 6 Закона № 152-ФЗ). Перед людьми за подрядчика все равно отвечает оператор.

Документы влияют и на размер штрафа. За повторную утечку закон предусматривает сниженный штраф, в частности, если оператор может документально подтвердить, что соблюдал требования к защите данных в течение 12 месяцев до нарушения (примечание к ст. 13.11 КоАП).

Если нужна помощь — мы проверим документы по персональным данным и договоры с подрядчиками, а если утечка уже случилась, сопроводим уведомление РКН и расследование.