Критические уязвимости PHP заставили государственные сайты отключиться перед экстренным патчем

Команда разработчиков PHP запланировала внеочередной выпуск безопасности на 14:00 UTC 21 октября 2026 года для исправления двух критических уязвимостей после утечки деталей в интернет за день до этого, по данным The Hacker News и компании безопасности Sansec. Уязвимости отслеживались как CVE-2026-109618 и CVE-2026-109619 и были неофициально названы исследователями "PHP2Shell", но команда PHP не приняла это название, сообщила The Hacker News.

Какие уязвимости

По данным технического анализа Sansec, CVE-2026-109618 — это уязвимость use-after-free в обработке загрузки файлов PHP, которая может вызвать утечку памяти сервера — включая пароли, токены сеанса и приватные ключи TLS — через куку PHPSESSID, способом, который компания сравнила с уязвимостью Heartbleed 2014 года. CVE-2026-109619 — это отдельная уязвимость use-after-free, срабатывающая при возникновении критической ошибки во время исчерпания памяти, в сочетании с путаницей типов в OPcache PHP, что, по словам Sansec, позволяет выполнять удаленный код. Обе уязвимости достигаются через запросы multipart/form-data, формат, который веб-страницы используют для загрузки файлов.

Национальный центр кибербезопасности Великобритании (NCSC) описал риск в своем консультативном документе от 21 октября как позволяющий злоумышленнику "выполнять команды на любом веб-сервере, работающем на PHP" без необходимости входа в систему и оценил проблему как критическую.

Почему правительства и платформы перешли в режим оффлайн

Поскольку PHP лежит в основе большой части веб-сайтов, несколько организаций решили отключить общедоступные сайты, а не ждать выпуска патча. Techzine сообщила, что голландские государственные сервисы, включая MijnOverheid, DigiD и парламентские системы, были временно отключены, а новостное сообщение, опубликованное KSL, говорило, что агентства кибербезопасности Нидерландов и Финляндии отключили государственные сайты в качестве меры предосторожности. Techzine также сообщила, что национальный центр кибербезопасности Великобритании (NCSC) и американское агентство по кибербезопасности и безопасности инфраструктуры (CISA) выпустили предупреждения, призывающие администраторов обновить или отключить затронутые системы, тогда как Wikipedia и Meta продолжали работать, применив модифицированные среды выполнения PHP и правила веб-приложений-файерволл вместо полного отключения.

Sansec сообщила, что основной разработчик PHP Gina Peter Banyard описал отключение серверов перед поступлением патча как наиболее разумный вариант для организаций, неспособных немедленно применить исправление — совет, которому следовали несколько голландских учреждений.

Cloudflare сообщила, что начала видеть попытки эксплуатации перед выпуском официального патча. По данным отчета KSL, главный технолог Cloudflare сказал, что компания наблюдает ранние атаки и постоянно обновляет свои меры по защите по мере появления новых методов атак, описывая защиту Cloudflare как временную меру до поступления официального исправления PHP. Sansec отдельно сообщила, что Cloudflare обнаружила атаки, начинающиеся с 07:43 UTC 21 октября, примерно за шесть часов до запланированного выпуска PHP.

• WordPress, Drupal, Joomla и Magento, системы управления контентом и электронной коммерции, построенные на PHP
• Конкретные версии, названные Sansec как подтвержденно уязвимые: Magento 2.4.9, WordPress 7.1.2, Drupal 11.4.3, Joomla 6.1.4, MediaWiki 1.46.2, Roundcube 1.7.4, phpMyAdmin 5.2.3, Nextcloud 35.0.1, Laravel 13.11 и Symfony 8.1
• Платформы общего хостинга и контрольные панели, которые включают PHP, согласно консультативному документу NCSC
• Голландские государственные сервисы DigiD и MijnOverheid, согласно Techzine

Масштабы воздействия: оценки различаются

Что известно и что неизвестно

Команда PHP подтвердила, что PHP 8.2, 8.3, 8.4 и 8.5 получат официальные исправления — в виде версий 8.5.12, 8.4.27, 8.3.36 и 8.2.35, по данным The Hacker News — в то время как снятые с поддержки ветки 8.1 и более ранние не будут обновлены поставщиком. Однако Sansec сказала, что базовый уязвимый код датируется PHP 5.4.0, что означает, что многие старые, неподдерживаемые установки, вероятно, остаются уязвимыми без официального исправления. По данным The Hacker News, на момент ее отчета от 21 октября не было доступно публичного proof-of-concept, и уязвимости не были добавлены в каталог Known Exploited Vulnerabilities CISA в то время — хотя позднее заявление Cloudflare указывало на то, что попытки атак уже были в разгаре.

Предыстория: как были обнаружены уязвимости

Хронология Sansec прослеживает первую уязвимость к исследованию, которое началось 1 августа 2026 года исследователем с ником "Calif", работавшим с OpenAI, который сообщил об этом команде безопасности PHP 11 августа. Второй связанный отчет поступил от команды Wiz Research — названной Sansec как Sagi Tzadik, Shir Tamari, Nir Ohfeld и Tomer Schwartz — 24 августа. Sansec сказала, что обе исследовательские команды благодарили AI модели за ускорение работы по поиску и адаптации экспойтов в разных версиях PHP, причем один исследователь якобы достиг рабочего экспойта примерно за неделю. Детали скоординированного эмбарго раскрытия уязвимостей утекли в интернет 20 октября, подтолкнув PHP перенести свое объявление и установить выпуск патча на 21 октября.