Безопасность 23 октября 2026, 10:10 МСК

ФСБ рекомендовала КИИ отключать уязвимые PHP-сайты, если их нельзя быстро обновить

НКЦКИ при ФСБ советует организациям критической инфраструктуры ограничить или отключить доступ к уязвимым сайтам из-за двух критических уязвимостей в PHP.

По данным CNews со ссылкой на РБК, 23 октября НКЦКИ через ГосСОПКА предупредил владельцев объектов КИИ — госорганы, финансовые, энергетические, транспортные и медицинские организации. Уязвимости CVE-2026-109618 и CVE-2026-109619 найдены с помощью нейросетей, затрагивают версии PHP с 5.4 до 8.5.4 и связаны с ошибкой use-after-free. Они позволяют выполнять команды на сервере без авторизации, что грозит полным контролем над сайтом и утечкой данных.

НКЦКИ рекомендует установить исправленную версию PHP, затем проверить серверы антивирусом и журналами событий, а о подозрительной активности сообщить в ГосСОПКА. Если обновиться нельзя, внешний доступ к веб-серверам советуют временно закрыть. Разработчики PHP выпустили патчи для поддерживаемых веток (8.2.35, 8.3.36, 8.4.27, 8.5.12) и называют обновление единственным стопроцентным способом защиты; наиболее рискованный сценарий — Apache с mod_php.

Технические материалы об эксплуатации уже опубликованы. По оценке Bi.Zone, в российском сегменте около 50 тыс. потенциально уязвимых PHP-приложений. Правило WAF от Bi.Zone снижает риск, но не гарантирует блокировку всех вариантов атак.

• CVE-2026-109618 и CVE-2026-109619, оценка 9,2 из 10
• Затронуты PHP с 5.4 до 8.5.4 включительно
• Около 50 тыс. потенциально уязвимых приложений в рунете (Bi.Zone)