Две критические уязвимости в PHP заставили европейские госслужбы отключать сайты

В Европе начали временно отключать государственные и общественные сайты после обнаружения двух критических уязвимостей в PHP. Ошибки позволяют злоумышленнику без пароля выполнить произвольный код на сервере, похитить данные, изменить содержимое сайта или захватить систему.

Разработчики PHP выпустили исправления 21 октября. Защищёнными считаются версии 8.2.35, 8.3.36, 8.4.27 и 8.5.12. Все более ранние выпуски этих веток требуют обновления. Владельцам устаревших PHP 8.1 и ниже нужно перейти на поддерживаемую версию либо получить исправление от поставщика операционной системы.

Уязвимости обозначены CVE-2026-109618 и CVE-2026-109619 и оценены в 9,2 балла из 10 по опасности. Проблемы связаны с обработкой памяти и внутренним состоянием PHP после критических ошибок. Атака может состояться до запуска кода самого сайта.

«Полных мер защиты нет: обновление — единственный безопасный выбор», — подчеркнула команда PHP.

Европейское агентство по кибербезопасности рекомендовало в первую очередь обновить серверы, доступные из интернета. Если немедленно установить исправления невозможно, уязвимые приложения советуют временно изолировать от публичной сети.

В Нидерландах отключили сайты национального центра кибербезопасности, порта Роттердам, государственных учреждений, больниц и политических партий. Некоторые сервисы также стали недоступны в Финляндии, Дании и Франции.

Исследователи компании Wiz обнаружили проблемы при помощи инструментов искусственного интеллекта. Уязвимый код оставался незамеченным более десяти лет. PHP используется в основе WordPress, Drupal, Joomla и множества других систем, поэтому обновление может потребоваться даже владельцам сайтов, которые напрямую с PHP не работают.

Обычным посетителям сайтов самостоятельно обновлять PHP не требуется — это задача администраторов и хостинг-провайдеров.