Безопасность 21 октября 2026, 23:36 МСК

Критические уязвимости в PHP привели к отключению сайтов, в том числе государственных

После выхода патча PHP Foundation для двух критических уязвимостей часть государственных и коммерческих сайтов в Европе и Канаде отключили на время обновления.

Уязвимости CVE-2026-109618 и CVE-2026-109619 позволяют удалённо выполнять код без авторизации. Злоумышленник может изменять содержимое сайта, получать доступ к данным и потенциально захватить сервер. Ошибки существуют около 20 лет. По данным OpenAI, критическую брешь нашла группа Calif с помощью GPT-5.6 Sol, независимо её обнаружила и принадлежащая Google компания Wiz. Wiz называет их одними из самых серьёзных в истории ПО, а технический директор Cloudflare сообщал о первых атаках.

По данным Reuters, сайты частично отключили власти Нидерландов, Дании, Франции и Финляндии; о временном отключении сообщил и министр ИИ Канады Эван Соломон. Отключения затронули и коммерческие сервисы: Verge упоминает 4chan, DeviantArt, Wikipedia, а также Pokémon Home. NSA и британский NCSC рекомендовали отключать системы, если быстрое обновление невозможно; CISA призвало установить патч.

PHP используют 69,3% сайтов с известным серверным языком, включая WordPress и Drupal. Сервисы вроде Squarespace и Wix PHP не поддерживают. GoDaddy предупредила, что для PHP 8.1 и старше официальных исправлений не будет и нужно переходить на новую версию. Обычным пользователям, как отмечает The Verge, сделать почти ничего нельзя.

• CVE-2026-109618 и CVE-2026-109619: удалённое выполнение кода
• PHP 8.1 и старше исправлений не получат
• Сайты отключили Нидерланды, Дания, Франция, Финляндия, Канада